Avviso: Oltre 80.000 password e file di chiavi da governi, banche e aziende tecnologiche trapelati online

L'azienda di cybersecurity watchTowr ha scoperto una grande quantità di password, chiavi di accesso e file di configurazione sensibili trapelati che erano stati esposti involontariamente da popolari strumenti di formattazione online, JSON formatter e CodeBeautify. 

watchTowr Labs ha dichiarato di aver raccolto un dataset contenente più di 80.000 file da siti utilizzati per formattare e convalidare il codice. All'interno di questi file, i ricercatori hanno trovato nomi utente, password, chiavi di autenticazione dei repository, credenziali di Active Directory, stringhe di connessione al database, credenziali FTP, chiavi di accesso agli ambienti cloud, dettagli di configurazione LDAP, chiavi API del helpdesk e persino registrazioni di sessioni SSH. 

"Stavamo setacciando piattaforme che gli sviluppatori usano per formattare rapidamente il loro input – come JSONFormatter e CodeBeautify. E sì, hai ragione – è andato esattamente male come potresti aspettarti", recitava il post del blog di watchTowr ha pubblicato martedì. 

Utilità online come JSONFormatter e CodeBeautify sono destinate a abbellire o convalidare i formati dei dati, dove gli sviluppatori incollano frammenti di codice o file di configurazione per risolvere problemi di formattazione. Ma secondo i ricercatori, molti dipendenti stanno incollando inconsapevolmente interi file che contengono segreti attivi dai sistemi di produzione.

JSON e CodeBeautify trapelano dati da governi, banche e sanità

Secondo l'azienda di sicurezza, il difetto nei dati trapelati non ha ancora interessato tre piattaforme, tra cui repository GitHub, spazi di lavoro Postman e contenitori DockerHub. Tuttavia, ha trovato cinque anni di contenuti storici da JSONFormatter e un anno di contenuti storici da CodeBeautify, per un totale di più di 5 gigabyte di materiale JSON arricchito e annotato. 

"La popolarità è così grande che il singolo sviluppatore dietro questi strumenti è abbastanza ispirato – con una tipica visita alla homepage di qualsiasi strumento che innesca rapidamente oltre 500 richieste web per generare quello che assumiamo essere un dolce, dolce ricavo di marketing di affiliazione", ha spiegato il gruppo di cybersecurity.

watchTowr Labs ha dichiarato che organizzazioni di settori come infrastrutture nazionali, agenzie governative, importanti istituzioni finanziarie, compagnie assicurative, fornitori di tecnologia, aziende retail, organizzazioni aerospaziali, telecomunicazioni, ospedali, università, aziende di viaggio e persino fornitori di cybersecurity hanno tutti avuto le loro informazioni private esposto.

"Questi strumenti sono estremamente popolari, apparendo vicino alla parte superiore dei risultati di ricerca per termini come 'JSON beautify' e 'miglior posto per incollare segreti' (probabilmente, non provato), utilizzati da organizzazioni e amministratori sia in ambienti enterprise che per progetti personali", ha scritto il ricercatore di sicurezza Jake Knott nel post del blog.

watchTowr Labs ha elencato diverse categorie di dati sensibili trovati all'interno dei file esposti come credenziali di Active Directory, chiavi di autenticazione dei repository di codice, dettagli di accesso al database, informazioni di configurazione LDAP, chiavi degli ambienti cloud, credenziali di accesso FTP, chiavi di pipeline CI/CD, chiavi private e richieste e risposte API complete con parametri sensibili.

Gli investigatori hanno anche menzionato segreti di Jenkins, file di configurazione crittografati appartenenti a un'azienda di cybersecurity, informazioni Know Your Customer da banche e credenziali AWS appartenenti a un importante scambio finanziario che erano collegate ai sistemi Splunk. 

watchTowr: Attori malintenzionati stanno raschiando le trapelazioni

Secondo l'analisi dei danni di watchTowr Labs, molte delle chiavi trapelate sono state raccolte e testate da parti sconosciute. In un esperimento, i ricercatori hanno caricato fake AWS chiavi di accesso su una delle piattaforme di formattazione, e in meno di due giorni, attori malintenzionati hanno tentato di abusare delle credenziali.

"Principalmente perché qualcuno sta già sfruttando la situazione, e questo è tutto davvero, davvero stupido", ha continuato Knott, "non abbiamo bisogno di più piattaforme agentiche guidate dall'IA; abbiamo bisogno di meno organizzazioni critiche che incollano credenziali su siti web casuali."

JSONFormatter e CodeBeautify hanno disabilitato temporaneamente la loro funzionalità di salvataggio a settembre, quando il difetto di sicurezza è stato portato alla loro attenzione. JSONFormatter stava "lavorando per renderlo migliore", mentre CodeBeautify ha dichiarato di implementare nuove "misure di prevenzione dei contenuti NSFW (Non Sicuri per il Lavoro) avanzate." 

Problema di sicurezza nel Provider Terraform di Vault di HashiCorp

Lontano dalle credenziali trapelate, l'azienda con sede a San Francisco HashiCorp di IBM ha trovato una vulnerabilità che potrebbe consentire agli attaccanti di bypassare l'autenticazione nel suo Vault Terraform Provider. L'azienda fornisce agli sviluppatori, alle imprese e alle organizzazioni di sicurezza infrastrutture di cloud computing e servizi di protezione.

Secondo l'azienda software risultati condiviso martedì, la vulnerabilità di Vault Terraform colpisce le versioni dalla v4.2.0 alla v5.4.0 a causa di una configurazione predefinita insicura nel metodo di autenticazione LDAP.

Il problema sorge perché il parametro "deny_null_bind" è impostato su false invece che su true quando il provider configura il backend di autenticazione LDAP di Vault. Il parametro determina se Vault rifiuta password errate o binding non autenticati. 

Se il server LDAP connesso consente binding anonimi, gli attaccanti possono autenticarsi e accedere agli account senza alcuna credenziale valida.