A GitHub token ຈາກບ່ອນເກັບຂໍ້ມູນພາຍໃນ Mercedes ໄດ້ຖືກພົບເຫັນຢູ່ໃນລະຫັດສາທາລະນະ

ການສະແກນຂໍ້ມູນລັບທີ່ຮົ່ວໄຫຼຢູ່ໃນບ່ອນເກັບມ້ຽນ GitHub ທີ່ດໍາເນີນໂດຍ RedHunt Labs ເປີດເຜີຍການພິມເຜີຍແຜ່ໃນບ່ອນເກັບຂໍ້ມູນສາທາລະນະຂອງ token API ທີ່ອະນຸຍາດໃຫ້ເຂົ້າເຖິງບ່ອນເກັບຂໍ້ມູນ Mercedes-Benz ພາຍໃນໄດ້ບໍ່ຈໍາກັດທີ່ໂຮດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍພາຍໃນໂດຍອີງໃສ່ແພລະຕະຟອມ Github Enterprise Server. ມັນເຊື່ອວ່າ token ໄດ້ຖືກເຜີຍແຜ່ໂດຍບັງເອີນໂດຍຫນຶ່ງໃນພະນັກງານ Mercedes-Benz ໃນບັນດາລະຫັດທີ່ຖືກຈັດພີມມາຢູ່ໃນບ່ອນເກັບມ້ຽນສາທາລະນະໃນ GitHub.

ໂທເຄັນໄດ້ຢູ່ໃນບ່ອນເກັບມ້ຽນຕັ້ງແຕ່ວັນທີ 29 ກັນຍາ 2023, ແລະຖືກຄົ້ນພົບໃນວັນທີ 11 ມັງກອນ 2024. ຫຼັງຈາກບໍລິສັດໄດ້ຮັບແຈ້ງເຫດການໃນວັນທີ 24 ມັງກອນ, ໂທເຄັນດັ່ງກ່າວໄດ້ຖືກຍົກເລີກ. ອີງຕາມຕົວແທນຂອງ Mercedes-Benz, ໂທເຄັນທີ່ຖືກເປີດເຜີຍບໍ່ໄດ້ໃຫ້ການເຂົ້າເຖິງລະຫັດແຫຼ່ງທັງໝົດທີ່ໂຮດຢູ່ໃນ ເຄື່ອງແມ່ຂ່າຍ, ແຕ່ສະເພາະກັບບ່ອນເກັບມ້ຽນພາຍໃນຂອງບໍລິສັດສະເພາະເທົ່ານັ້ນ. ນັກຄົ້ນຄວ້າຜູ້ທີ່ຄົ້ນພົບໂທເຄັນໄດ້ລະບຸໃນຖະແຫຼງການວ່າບ່ອນເກັບມ້ຽນພາຍໃນທີ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍໃຊ້ໂທເຄັນມີເອກະສານທາງເທັກນິກທີ່ປິດແລ້ວ ແລະ ຂໍ້ມູນທີ່ປະກອບເປັນຄວາມລັບທາງການຄ້າ, ເຊັ່ນດຽວກັນກັບຂໍ້ມູນລັບເຊັ່ນ: ຂໍ້ມູນປະຈຳຕົວເຂົ້າສູ່ລະບົບຖານຂໍ້ມູນ, ລະຫັດການເຂົ້າເຖິງບໍລິການຄລາວ, ລະຫັດການເຂົ້າເຖິງ API ແລະ ລະຫັດຜ່ານບໍລິການ.

Дополнительно можно отметить проведённое компанией Escape сканирование миллиона доменов на предмет наличия в открытом доступе ключей и API-токенов. При сканировании, в ходе которого проанализировано 189.5 млн URL, было выявлено 18458 встроенных на страницы ключей и токенов, из которых 41% являются критически важными, т.е. их утеря приводит к значительным финансовым рискам. Например, по оценке исследователей, объём средств, к которым можно получить доступ через оставленные на страницах токены для обращения к API Stripe, составляет около 20 млн долларов.

ໃນ​ບັນ​ດາ​ຂໍ້​ມູນ​ຄວາມ​ລັບ​ທີ່​ລະ​ບຸ​ໄວ້​ໃນ​ຫນ້າ​, tokens ການ​ເຂົ້າ​ເຖິງ​ສໍາ​ລັບ GitHub (51.5%), GitLab, Stripe (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) ແລະ Discord (1.2%), ເຊັ່ນດຽວກັນກັບກະແຈ RSA ສ່ວນຕົວ (26.3%). 35% ຂອງກະແຈ ແລະໂທເຄັນທີ່ລະບຸໄດ້ມີຢູ່ໃນໄຟລ໌ JavaScript. ໃນ 2.1% ຂອງກໍລະນີ, ຂໍ້ມູນທີ່ລະອຽດອ່ອນໄດ້ຖືກພົບເຫັນຢູ່ໃນໄຟລ໌ທີ່ໄດ້ຮັບຜົນມາຈາກການລວບລວມລະຫັດ JavaScript ເຂົ້າໄປໃນໄຟລ໌ດຽວ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru