Tijdens een door RedHunt Labs uitgevoerd onderzoek naar datalekken in GitHub-repositories, werd een publicatie in een openbare repository ontdekt van een API-token dat onbeperkte toegang verleent tot interne repositories van Mercedes-Benz, die zijn gehost op een interne server op basis van het GitHub Enterprise Server platform. Het wordt verondersteld dat het token per ongeluk door een van de medewerkers van Mercedes-Benz is gepubliceerd tussen de code in de openbare repository op GitHub.
Het token is sinds 29 september 2023 in de repository en werd op 11 januari 2024 ontdekt. Na de melding van het incident op 24 januari werd het token ingetrokken. Volgens vertegenwoordigers van Mercedes-Benz kon met het openbaar gemaakte token geen toegang worden verkregen tot de volledige broncode, de server, maar slechts tot afzonderlijke interne repositories van het bedrijf. In het rapport van de onderzoekers die het token ontdekten, wordt echter vermeld dat er in de interne repositories die toegankelijk waren met het gevonden token, vertrouwelijke technische documentatie en informatie aanwezig was die handelsgeheimen vertegenwoordigt, evenals vertrouwelijke gegevens zoals inloggegevens voor databases, toegangssleutels voor cloudservices, API-toegangssleutels en verbindingswachtwoorden voor services.
Daarnaast kan worden opgemerkt dat het bedrijf Escape een scan heeft uitgevoerd van miljoenen domeinen pagina's op zoek naar sleutels en API-tokens die openbaar toegankelijk zijn. Tijdens de scan, waarbij 189,5 miljoen URL's zijn geanalyseerd, werden 18.458 ingebedde sleutels en tokens ontdekt, waarvan 41% kritiek is, wat betekent dat het verlies ervan aanzienlijke financiƫle risico's met zich meebrengt. Bijvoorbeeld, volgens de onderzoekers, bedraagt het bedrag waartoe toegang kan worden verkregen via de op pagina's achtergelaten tokens voor de API van Stripe ongeveer 20 miljoen dollar.
Onder de ontdekte vertrouwelijke gegevens op de pagina's worden toegangstokens voor GitHub (51,5%), GitLab, Stripe (0,9%), OpenAI (1,4%), AWS, Twitch (0,7%), Coinbase, X/Twitter (2,7%), Slack (9,5%) en Discord (1,2%) genoemd, evenals privƩ RSA-sleutels (26,3%). 35% van de ontdekte sleutels en tokens waren aanwezig in JavaScript-bestanden. In 2,1% van de gevallen werden vertrouwelijke gegevens gevonden in bestanden die zijn verkregen door het compileren van JavaScript-code in ƩƩn bestand.
Bron: opennet.ru
