GitHub کاروونکو ته د برید په اړه خبرداری ورکړ چې هدف یې د هیروکو او ټریوس-CI خدماتو لپاره رامینځته شوي جوړ شوي OAuth ټوکنونو په کارولو سره د شخصي ذخیره کولو څخه ډیټا ډاونلوډ کول دي. دا راپور ورکړل شوی چې د برید په جریان کې ، د ځینې سازمانونو شخصي زیرمو څخه ډاټا افشا شوي ، کوم چې د هیروکو PaaS پلیټ فارم او د Travis-CI دوامداره ادغام سیسټم لپاره زیرمو ته لاسرسی خلاص کړ. د قربانیانو په منځ کې د GitHub او NPM پروژه وه.
برید کونکي وتوانیدل چې د شخصي GitHub ذخیره کولو څخه د ایمیزون ویب خدماتو API ته لاسرسي کلیدي استخراج کړي ، چې د NPM پروژې زیربنا کې کارول کیږي. پایله کیلي د AWS S3 خدمت کې زیرمه شوي NPM کڅوړو ته د لاسرسي اجازه ورکړه. GitHub باور لري چې د NPM ذخیره کولو ته د لاسرسي سربیره ، دا کڅوړې نه بدلې کړې یا د کارونکي حسابونو پورې اړوند ډیټا ترلاسه کړي. دا هم یادونه شوې چې څنګه چې د GitHub.com او NPM زیربناوې جلا دي ، برید کونکو وخت نه درلود چې د داخلي GitHub ذخیره کولو مینځپانګې ډاونلوډ کړي مخکې لدې چې ستونزې لرونکي ټیکونه بلاک شوي وي د NPM سره تړاو نلري.
برید د اپریل په 12 نیټه وروسته له هغه کشف شو چې برید کونکو د AWS API کلیدي کارولو هڅه وکړه. وروسته، ورته بریدونه په ځینو نورو سازمانونو کې ثبت شوي، کوم چې د هیروکو او Travis-CI غوښتنلیک ټیکونه هم کارولي. د اغیزمنو سازمانونو نومونه نه دي په ډاګه شوي، مګر د برید څخه اغیزمن شوي ټولو کاروونکو ته انفرادي خبرتیاوې لیږل شوي. د Heroku او Travis-CI غوښتنلیکونو کاروونکي هڅول کیږي چې امنیت او د پلټنې لاګ بیاکتنه وکړي ترڅو د ګډوډۍ او غیر معمولي فعالیت پیژندلو لپاره.
دا لا روښانه نده چې څنګه ټوکن د برید کونکو په لاس کې و ، مګر GitHub باور لري چې دوی د شرکت زیربنا د جوړجاړي په پایله کې ندي ترلاسه شوي ، ځکه چې د بهرني سیسټمونو څخه د لاسرسي اجازه ورکولو لپاره ټوکنونه د GitHub اړخ کې ندي زیرمه شوي. په اصلي بڼه د کارولو لپاره مناسب. د برید کونکي چلند تحلیل ښودلې چې د شخصي زیرمو د مینځپانګو ډاونلوډ کولو اصلي هدف احتمال لري په دوی کې د محرم معلوماتو شتون تحلیل کړي ، لکه د لاسرسي کیلي ، کوم چې د زیربنا نورو عناصرو باندې برید ته دوام ورکولو لپاره کارول کیدی شي. .
سرچینه: opennet.ru