Alerte : Plus de 80 000 mots de passe et fichiers de clés de gouvernements, banques et entreprises technologiques fuités en ligne
- Les chercheurs découvrent plus de 80 000 mots de passe, clés et fichiers sensibles divulgués sur des outils populaires de formatage de code en ligne.
- Les gouvernements, les banques, les entreprises technologiques et les organisations d'infrastructures critiques sont touchés ; les attaquants ont déjà extrait et exploité les données exposées.
- L'enquête révèle également une faille critique de contournement d'authentification dans le fournisseur Terraform de HashiCorp Vault, affectant les configurations LDAP.
La société de cybersécurité watchTowr a découvert une multitude de mots de passe, de clés d'accès et de fichiers de configuration sensibles qui ont été exposés par inadvertance depuis des outils de formatage en ligne populaires, JSON Formatter et CodeBeautify.
watchTowr Labs a déclaré avoir collecté un ensemble de données contenant plus de 80 000 fichiers à partir de sites utilisés pour formater et valider du code. Parmi ces fichiers, les chercheurs ont trouvé des noms d'utilisateur, des mots de passe, des clés d'authentification de référentiels, des identifiants Active Directory, des chaînes de connexion de base de données, des identifiants FTP, des clés d'accès aux environnements cloud, des détails de configuration LDAP, des clés API de helpdesk et même des enregistrements de sessions SSH.
« Nous avons fouillé dans les plateformes que les développeurs utilisent pour formater rapidement leur entrée – comme JSONFormatter et CodeBeautify. Et oui, vous avez raison – cela s'est passé exactement aussi mal que vous pourriez vous y attendre », indique la publication de blog de watchTowr publié mardi.
Les utilitaires en ligne tels que JSONFormatter et CodeBeautify sont censés embellir ou valider les formats de données, où les développeurs collent des extraits de code ou des fichiers de configuration pour résoudre les problèmes de formatage. Mais selon les chercheurs, de nombreux employés collent inconsciemment des fichiers entiers contenant des secrets actifs provenant de systèmes de production.
JSON et CodeBeautify fuient des données de gouvernements, banques et secteur de la santé
Selon la société de sécurité, la faille de données fuites n'a encore affecté que trois plateformes, y compris les référentiels GitHub, les espaces de travail Postman et les conteneurs DockerHub. Cependant, elle a trouvé cinq ans de contenu historique de JSONFormatter et un an de contenu historique de CodeBeautify, totalisant plus de 5 gigaoctets de matériel JSON enrichi et annoté.
« La popularité est telle que le seul développeur derrière ces outils est assez inspiré – une visite typique sur la page d'accueil de n'importe quel outil déclenchant plus de 500 requêtes web assez rapidement pour générer ce que nous supposons être un revenu marketing d'affiliation très appréciable », a expliqué le groupe de cybersécurité.
watchTowr Labs a déclaré que des organisations de secteurs tels que les infrastructures nationales, les agences gouvernementales, les grandes institutions financières, les compagnies d'assurance, les fournisseurs de technologies, les entreprises de détail, les organisations aérospatiales, les télécommunications, les hôpitaux, les universités, les entreprises de voyage et même les fournisseurs de cybersécurité ont tous eu leurs informations privées exposé.
« Ces outils sont extrêmement populaires, apparaissant près du haut des résultats de recherche pour des termes comme 'embellir JSON' et 'meilleur endroit pour coller des secrets' (probablement, non prouvé), utilisés par des organisations et des administrateurs tant dans des environnements d'entreprise que pour des projets personnels », a écrit le chercheur en sécurité Jake Knott dans la publication de blog.
watchTowr Labs a répertorié plusieurs catégories de données sensibles trouvées dans les fichiers exposés, telles que les identifiants Active Directory, les clés d'authentification des référentiels de code, les détails d'accès aux bases de données, les informations de configuration LDAP, les clés d'environnement cloud, les identifiants de connexion FTP, les clés de pipeline CI/CD, les clés privées et les requêtes et réponses API complètes avec des paramètres sensibles.
Les enquêteurs ont également mentionné des secrets Jenkins, des fichiers de configuration chiffrés appartenant à une entreprise de cybersécurité, des informations Know Your Customer provenant de banques, ainsi que des identifiants AWS appartenant à une grande bourse financière, qui étaient connectés aux systèmes Splunk.
watchTowr : Les acteurs malveillants extraient les fuites
Selon l'analyse des dégâts réalisée par watchTowr Labs, de nombreuses clés divulguées ont été collectées et testées par des parties inconnues. Lors d'une expérience, les chercheurs ont téléchargé de faux AWS clés d'accès sur l'une des plateformes de formatage, et en moins de deux jours, des acteurs malveillants ont tenté d'abuser des identifiants.
« Principalement parce que quelqu'un l'exploite déjà, et c'est vraiment, vraiment stupide », a poursuivi Knott, « nous n'avons pas besoin de plus de plateformes agentic pilotées par l'IA ; nous avons besoin de moins d'organisations critiques collant des identifiants sur des sites Web aléatoires. »
JSONFormatter et CodeBeautify ont temporairement désactivé leur fonctionnalité d'enregistrement en septembre, lorsque la faille de sécurité a été portée à leur connaissance. JSONFormatter indiquait « travailler à l'amélioration de la situation », tandis que CodeBeautify a déclaré mettre en œuvre de nouvelles « mesures renforcées de prévention du contenu NSFW (Non Safe For Work / Non adapté au travail) ».
Problème de sécurité dans le fournisseur Terraform de Vault de HashiCorp
À l'écart des identifiants divulgués, l'entreprise IBM basée à San Francisco, HashiCorp, a découvert une vulnérabilité qui pourrait permettre aux attaquants de contourner l'authentification dans son fournisseur Terraform Vault. L'entreprise fournit aux développeurs, aux entreprises et aux organisations de sécurité des infrastructures de cloud computing et des services de protection.
Selon le résultats partagé mardi, la faille de Vault Terraform affecte les versions v4.2.0 à v5.4.0 en raison d'une configuration par défaut non sécurisée dans la méthode d'authentification LDAP.
Le problème survient parce que le paramètre « deny_null_bind » est défini sur false au lieu de true lorsque le fournisseur configure le backend d'authentification LDAP de Vault. Le paramètre détermine si Vault rejette un mot de passe incorrect ou des liaisons non authentifiées.
Si le serveur LDAP connecté autorise les liaisons anonymes, les attaquants peuvent s'authentifier et accéder aux comptes sans aucun identifiant valide.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
