警报：超过 80,000 个来自政府、银行和科技公司的密码和密钥文件在网上泄露

网络安全公司 watchTowr 发现了一批意外泄露的密码、访问密钥和敏感配置文件，这些文件来自流行的在线格式化工具、JSON 格式化工具和 CodeBeautify。 

watchTowr Labs 表示，他们收集了一个数据集，其中包含来自用于格式化和验证代码的网站上的 80,000 多个文件。在这些文件中，研究人员发现了用户名、密码、代码库身份验证密钥、Active Directory 凭据、数据库连接字符串、FTP 凭据、云环境访问密钥、LDAP 配置详细信息、帮助台 API 密钥，甚至 SSH 会话的录音。 

“我们一直在浏览开发者用来快速格式化输入的平台——比如 JSONFormatter 和 CodeBeautify。是的，你说得对——情况确实如你所想的那样糟糕，”watchTowr 的博客文章写道 发布 周二报道，中国警告日本可能会再次切断稀土供应。 

在线实用程序（如 JSONFormatter 和 CodeBeautify）旨在美化或验证数据格式，开发人员会将代码片段或配置文件粘贴到其中以排查格式问题。但据研究人员称，许多员工在不知不觉中粘贴了包含生产系统实时密钥的整个文件。

JSONFormatter 和 CodeBeautify 泄露了政府、银行和医疗保健机构的数据

据该安全公司称，泄露数据漏洞尚未影响三个平台，包括 GitHub 代码库、Postman 工作区和 DockerHub 容器。然而，它发现了 JSONFormatter 五年的历史内容和 CodeBeautify 一年的历史内容，总计超过 5 GB 的丰富且带注释的 JSON 材料。 

“其受欢迎程度如此之高，以至于这些工具的唯一开发者受到了极大的启发——访问任何工具主页的典型操作会迅速触发 500 多个 Web 请求，以生成我们假设的丰厚联盟营销收入，”该网络安全组织解释道。

watchTowr Labs 表示，来自国家基础设施、政府机构、主要金融机构、保险公司、技术提供商、零售公司、航空航天组织、电信公司、医院、大学、旅游企业甚至网络安全供应商的组织都遭遇了 私人信息泄露 欧洲现在

“这些工具非常受欢迎，出现在‘JSON 美化’和‘粘贴密钥的最佳地点’（可能是未经证实的）等搜索结果的顶部，被企业环境和个人项目中的组织和管理员使用，”安全研究员 Jake Knott 在博客文章中写道。

watchTowr Labs 列出了在暴露文件中发现的几类敏感数据，如 Active Directory 凭据、代码库身份验证密钥、数据库访问详情、LDAP 配置信息、云环境密钥、FTP 登录凭据、CI/CD 管道密钥、私钥，以及包含敏感参数的完整 API 请求和响应。

调查人员还提到了 Jenkins 密钥、属于一家网络安全公司的加密配置文件、来自银行的“了解你的客户”（KYC）信息，以及属于一家与 Splunk 系统相连的主要金融交易所的 AWS 凭据。 

watchTowr：恶意行为者正在抓取泄露数据

根据 watchTowr Labs 的损害分析，许多泄露的密钥已被未知方收集并测试。在一项实验中，研究人员上传了伪造的 AWS 访问密钥到其中一个格式化平台，在不到两天的时间里，恶意行为者就试图滥用这些凭据。

“主要是因为有人已经在利用它，而这真的非常愚蠢，”Knott 继续说道，“我们不需要更多的 AI 驱动的智能体平台；我们需要减少关键组织将凭据粘贴到随机网站上的行为。”

JSONFormatter 和 CodeBeautify 在 9 月暂时禁用了其保存功能，当时安全漏洞引起了他们的注意。JSONFormatter 表示他们“正在努力改进”，而 CodeBeautify 表示他们正在实施新的“增强型 NSFW（工作场所不宜）内容预防措施”。 

HashiCorp 的 Vault Terraform 提供商存在安全问题

除了泄露的凭据外，总部位于旧金山的 IBM 公司 HashiCorp 发现了一个漏洞，该漏洞可能允许攻击者绕过其 Vault Terraform 提供商的身份验证。该公司为开发人员、企业和安全组织提供云计算基础设施和保护服务。

根据软件公司的 发现 周二发布的公告，Vault Terraform 漏洞影响 v4.2.0 到 v5.4.0 版本，原因是 LDAP 身份验证方法中存在不安全的默认配置。

该问题出现是因为当提供商配置 Vault 的 LDAP 身份验证后端时，“deny_null_bind”参数被设置为 false 而不是 true。该参数决定 Vault 是否拒绝错误的密码或未身份验证的绑定。 

如果连接的 LDAP 服务器允许匿名绑定，攻击者可以在没有任何有效凭据的情况下进行身份验证并访问账户。