یک مخزن کد که توسط بخش فناوری اطلاعات دولت ایالت نیویورک استفاده می شود ، در اینترنت رها شده و به همه امکان دسترسی به پروژه های داخل را می دهد ، برخی از آنها حاوی کلیدهای مخفی و رمزهای عبور مربوط به سیستم های دولت ایالتی است.

سرور GitLab در معرض دید روز شنبه توسط SpiderSilk ، مستقر در دبی ، یک شرکت امنیت سایبری معتبر با کشف نشت داده ها در سامسونگ ، Clearview AI و MoviePass شناخته شد.

سازمان ها از GitLab برای توسعه و ذخیره کد منبع خود – و همچنین کلیدهای مخفی ، نشانه ها و رمزهای عبور مورد نیاز برای کار پروژه ها – در سرورهایی که کنترل می کنند استفاده می کنند. مصب حسین ، افسر ارشد امنیتی SpiderSilk به TechCrunch گفت ، اما سرور در معرض اینترنت از طریق اینترنت قابل دسترسی و پیکربندی شده است تا هر کسی از خارج از سازمان بتواند یک حساب کاربری ایجاد کند و بدون مشکل وارد سیستم شود.

هنگامی که TechCrunch از سرور GitLab بازدید کرد ، صفحه ورود نشان داد که حساب های کاربری جدید را می پذیرد. دقیقاً مشخص نیست که چه مدت از این طریق سرور GitLab قابل دسترسی بود ، اما سوابق تاریخی Shodan ، موتور جستجوی دستگاه ها و پایگاه های داده در معرض ، نشان می دهد GitLab اولین بار در تاریخ 18 مارس در اینترنت شناسایی شد.

SpiderSilk چندین عکس صفحه نمایش به اشتراک گذاشت که نشان می دهد سرور GitLab دارای کلیدهای مخفی و رمزهای عبور مرتبط با سرورها و پایگاه های داده متعلق به دفتر خدمات فناوری اطلاعات ایالت نیویورک است. از آنجا که از سرور در معرض دسترسی می توان به سو mal استفاده دسترسی پیدا کرد یا دستکاری شود ، شرکت راه اندازی برای افشای امنیت امنیتی در این ایالت درخواست کمک کرد.

TechCrunch مدت کوتاهی پس از پیدا شدن سرور ، دفتر فرمانداری نیویورک را در جریان این تماس قرار داد. چندین ایمیل به دفتر فرمانداری با جزئیات سرور GitLab در معرض دید باز شد اما به آنها پاسخی داده نشد. بعد از ظهر دوشنبه سرور آفلاین شد.

اسکات ریف ، سخنگوی دفتر خدمات فناوری اطلاعات ایالت نیویورک ، گفت که سرور “جعبه آزمایشی است که توسط یک فروشنده راه اندازی شده است ، هیچ داده ای وجود ندارد و قبلاً توسط ITS از رده خارج شده است.” (ریف پاسخ خود را “در پس زمینه” اعلام كرد و قابل انتساب به یك مقام دولتی بود ، كه مستلزم موافقت هر دو طرف با این شرایط از قبل است ، اما ما در حال چاپ پاسخ هستیم زیرا به ما فرصتی داده نشد تا شرایط را رد كنیم.)

وقتی از او س askedال شد ، ریف نمی گوید فروشنده چه کسی است یا اگر رمزهای عبور در سرور تغییر کرده است. چندین پروژه در سرور با عنوان “prod” یا اختصار مشترک برای “تولید” علامت گذاری شده است ، اصطلاحی برای سرورهایی که به طور فعال استفاده می شوند. ریف همچنین نمی گوید اگر این حادثه به دفتر دادستان کل ایالت گزارش شده باشد. وقتی سخنگوی دادستان کل کشور به آن رسید ، تا زمان مطبوعات توضیحی نداد.

TechCrunch می داند که این فروشنده Indotronix-Avani است ، یک شرکت مستقر در نیویورک با دفاتر در هند ، و متعلق به شرکت سرمایه گذاری خطرناک Nigama Ventures است. چندین عکس از صفحه نشان می دهد که برخی از پروژه های GitLab توسط یک مدیر پروژه در Indotronix-Avani اصلاح شده است. وب سایت این فروشنده ، در کنار سایر مشتریان دولتی از جمله وزارت امور خارجه و وزارت دفاع ایالات متحده ، نیویورک را در وب سایت خود تبلیغ می کند.

مارک ادموندز ، سخنگوی Indotronix-Avani به درخواست های اظهار نظر پاسخ نداد.

بیشتر بخوانید:

  • فولکس واگن می گوید که با از بین رفتن امنیت یک فروشنده ، اطلاعات 3.3 میلیون راننده را فاش کرده است
  • فراداده عکس پروفایل Peloton و Echelon مکان های دنیای واقعی سواران را در معرض دید قرار داد
  • Zocdoc می گوید: “خطاهای برنامه نویسی” دسترسی به داده های بیماران را آشکار می کند
  • برنامه Ring Neighbours آمازون مکان های دقیق و آدرس خانه کاربران را در معرض دید قرار داده است
  • چگونه جامائیکا نتوانست رسوایی JamCOVID خود را مدیریت کند

منبع Tech Crunch