Med skeniranjem povjerenih podataka koje je provela tvrtka RedHunt Labs u GitHub repozitorijima otkrivena je objava u javnom repozitoriju API tokena koji omogućava neograničen pristup internim repozitorijima tvrtke Mercedes-Benz, smještenim na internom serveru na bazi platforme GitHub Enterprise Server. Pretpostavlja se da je token slučajno objavljen od strane jednog od zaposlenika Mercedes-Benza unutar koda koji je bio smješten u javnom repozitoriju na GitHubu.
Token se nalazi u repozitoriju od 29. rujna 2023. godine, a otkriven je 11. siječnja 2024. Nakon obavještavanja tvrtke o incidentu 24. siječnja, token je povučen. Prema izjavama predstavnika Mercedes-Benza, putem otkrivenog tokena mogao se pristupiti samo određenim internim repozitorijima tvrtke. strežnikom, ali ne i prema cijelom izvorno kоду koji je bio smješten na
Osim toga, treba napomenuti da je tvrtka Escape provela skeniranje milijuna domena za prisutnost ključeva i API tokena u otvorenom pristupu. Tokom skeniranja, tijekom kojeg je analizirano 189.5 milijuna URL-ova, otkriveno je 18458 ugrađenih ključeva i tokena na stranicama, od kojih je 41% kritično važnih, tj. njihovo gubitak dovodi do značajnih financijskih rizika. Na primjer, prema procjenama istraživača, iznos sredstava kojima se može pristupiti putem tokena ostavljenih na stranicama za API Stripe iznosi oko 20 milijuna dolara.
Među otkrivenim povjerljivim podacima na stranicama spominju se pristupni tokeni za GitHub (51.5%), GitLab, Stripe (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) i Discord (1.2%), kao i privatni RSA ključevi (26.3%). 35% od otkrivenih ključeva i tokena bilo je prisutno u JavaScript datotekama. U 2.1% slučajeva povjerljivi podaci pronađeni su u datotekama dobivenim kompajliranjem JavaScript koda u jednu datoteku.
Izvor: opennet.ru
