Тревога: Более 80 000 файлов паролей и ключей от правительств, банков и технологических компаний утекли в сеть
- Исследователи обнаружили более 80 000 утеченных паролей, ключей и конфиденциальных файлов, открытых на популярных онлайн-инструментах форматирования кода.
- Пострадали правительства, банки, технологические компании и организации критической инфраструктуры; злоумышленники уже собирают и используют уязвимые данные.
- В ходе расследования также обнаружена критическая уязвимость обхода аутентификации в HashiCorp Vault Terraform Provider, затрагивающая конфигурации LDAP.
Компания по кибербезопасности watchTowr обнаружила множество утечек паролей, ключей доступа и конфиденциальных конфигурационных файлов, которые были непреднамеренно раскрыты из популярных онлайн-инструментов форматирования, JSON formatter и CodeBeautify.
Лаборатория watchTowr заявила, что собрала набор данных, содержащий более 80 000 файлов с сайтов, используемых для форматирования и проверки кода. Среди этих файлов исследователи обнаружили имена пользователей, пароли, ключи аутентификации репозиториев, учетные данные Active Directory, строки подключения к базам данных, учетные данные FTP, ключи доступа к облачным средам, детали конфигурации LDAP, ключи API службы поддержки и даже записи сессий SSH.
«Мы рылись в платформах, которые разработчики используют для быстрого форматирования своего ввода, таких как JSONFormatter и CodeBeautify. И да, вы правы — все пошло именно так плохо, как можно было ожидать», — говорится в блоге watchTowr опубликованном во вторник.
Онлайн-утилиты, такие как JSONFormatter и CodeBeautify, предназначены для улучшения или проверки форматов данных, где разработчики вставляют фрагменты кода или конфигурационные файлы для устранения проблем с форматированием. Но, согласно исследователям, многие сотрудники неосознанно вставляют целые файлы, содержащие живые секреты из производственных систем.
JSON и CodeBeautify утекли данные от правительств, банков и здравоохранения
Согласно компании по безопасности, утечка данных еще не затронула три платформы, включая репозитории GitHub, рабочие пространства Postman и контейнеры DockerHub. Однако она обнаружила пять лет исторического контента из JSONFormatter и один год исторического контента из CodeBeautify, что в сумме составляет более 5 гигабайт обогащенного и аннотированного JSON-материала.
"Популярность настолько велика, что единственный разработчик этих инструментов чувствует себя весьма вдохновлённым – типичный визит на любую домашнюю страницу инструмента вызывает более 500 веб-запросов довольно быстро, чтобы сгенерировать, как мы предполагаем, сладкий, сладкий доход от аффилированного маркетинга", – объяснила группа кибербезопасности.
Лаборатория watchTowr заявила, что организации из таких отраслей, как национальная инфраструктура, государственные учреждения, крупные финансовые институты, страховые компании, поставщики технологий, розничные фирмы, аэрокосмические организации, телекоммуникации, больницы, университеты, туристические бизнесы и даже поставщики кибербезопасности, все имели свои конфиденциальные данные сильно зависит
"Эти инструменты чрезвычайно популярны, появляясь в верхней части результатов поиска по таким запросам, как 'JSON beautify' и 'лучшее место для вставки секретов' (вероятно, непроверенно), используемые организациями и администраторами как в корпоративных средах, так и для личных проектов", – написал исследователь безопасности Джейк Нотт в блоге.
Лаборатория watchTowr перечислила несколько категорий конфиденциальных данных, обнаруженных в открытых файлах, таких как учетные данные Active Directory, ключи аутентификации репозиториев кода, данные доступа к базам данных, информация о конфигурации LDAP, ключи облачных сред, учетные данные входа FTP, ключи конвейеров CI/CD, закрытые ключи, а также полные запросы и ответы API с конфиденциальными параметрами.
Расследователи также упомянули секреты Jenkins, зашифрованные конфигурационные файлы, принадлежащие компании кибербезопасности, информацию Know Your Customer из банков и учетные данные AWS, принадлежащие крупной финансовой бирже, которые были связаны с системами Splunk.
watchTowr: Злоумышленники собирают утечки
Согласно анализу ущерба от watchTowr Labs, многие из утеченных ключей были собраны и протестированы неизвестными сторонами. В ходе эксперимента исследователи загрузили поддельные AWS ключи доступа на одну из платформ форматирования, и всего за два дня злоумышленники попытались использовать эти учетные данные.
"В основном потому, что кто-то уже эксплуатирует это, и это действительно, действительно глупо", – продолжил Нотт, "нам не нужно больше платформ агентов на базе ИИ; нам нужно меньше критических организаций, вставляющих учетные данные в случайные веб-сайты".
JSONFormatter и CodeBeautify временно отключили функцию сохранения в сентябре, когда им сообщили об уязвимости безопасности. JSONFormatter заявил, что "работает над улучшением", в то время как CodeBeautify сказал, что внедряет новые "усиленные меры предотвращения NSFW (небезопасного для работы) контента".
Проблема безопасности в провайдере Terraform Vault от HashiCorp
В стороне от утечек учетных данных, компания HashiCorp из Сан-Франциско, принадлежащая IBM, обнаружила уязвимость, которая могла позволить злоумышленникам обойти аутентификацию в ее провайдере Vault Terraform. Компания предоставляет разработчикам, бизнесу и организациям безопасности инфраструктуру облачных вычислений и услуги защиты.
Согласно выводы опубликованному во вторник, уязвимость Vault Terraform затрагивает версии с v4.2.0 по v5.4.0 из-за небезопасной конфигурации по умолчанию в методе аутентификации LDAP.
Проблема возникает из-за того, что параметр "deny_null_bind" установлен в false вместо true, когда провайдер настраивает бэкенд аутентификации LDAP Vault. Параметр определяет, отклоняет ли Vault неверный пароль или неаутентифицированные привязки.
Если подключенный сервер LDAP позволяет анонимные привязки, злоумышленники могут аутентифицироваться и получать доступ к учетным записям без каких-либо действительных учетных данных.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Флоренс Мучай
Флоренс уже 6 лет освещает новости в сферах криптовалют, игр, технологий и искусственного интеллекта. Её образование по специальности «Компьютерные науки» в Университете науки и технологий Меру, а также обучение управлению в чрезвычайных ситуациях и международной дипломатии в MMUST обеспечили ей отличные языковые навыки, наблюдательность и технические компетенции. Флоренс работала в группе VAP Group и была редактором в нескольких крипто-медиа.
