كشف موقعان على الويب يهدفان إلى مساعدة مطوري البرامج في تنسيق التعليمات البرمجية الخاصة بهم وهيكلتها عن آلاف من بيانات اعتماد تسجيل الدخول ومفاتيح المصادقة وغيرها من المعلومات الحساسة للغاية.

الأمن السيبراني ووجد الباحثون أن هذه البيانات الحساسة تخص مؤسسات في العديد من القطاعات عالية المخاطر مثل الحكومة والمصارف والرعاية الصحية.

JSONFormatter وCodeBeautify هما أداتان عبر الإنترنت تسمحان لمطوري البرامج بلصق التعليمات البرمجية الخاصة بهم وتحويلها إلى تنسيق أكثر قابلية للقراءة. ومع ذلك، عندما يقومون بحفظ نتائجهم للرجوع إليها لاحقًا، فإن كل ما يقومون بتضمينه في روابطهم يُترك مكشوفًا تمامًا لأي شخص.

تكمن المشكلة في أنه في كثير من الحالات تضمنت الروابط بيانات الاعتماد المضمنة ومفاتيح المصادقة وغيرها من المعلومات الحساسة للغاية التي يمكن أن تمكن المتسللين من الوصول إلى تلك الأنظمة.

الكمبيوتر النائم تشير التقارير إلى أن شركة الأمن السيبراني watchTowr عثرت على ما يزيد عن خمس سنوات من بيانات JSONformatter وعام من بيانات CodeBeautify التي تحتوي على مجموعة واسعة من المعلومات الحساسة.

• بيانات اعتماد الدليل النشط
• قاعدة البيانات وبيانات الاعتماد السحابية
• مفاتيح خاصة
• الرموز المميزة لمستودع التعليمات البرمجية
• أسرار CI/CD
• مفاتيح بوابة الدفع
• رموز API
• تسجيلات جلسة SSH
• كميات كبيرة من معلومات التعريف الشخصية (PII)، بما في ذلك بيانات معرفة عميلك (KYC)
• مجموعة بيانات اعتماد AWS يستخدمها نظام Splunk SOAR الخاص بالبورصة الدولية
• تم الكشف عن بيانات اعتماد البنك من خلال البريد الإلكتروني الخاص بإعداد MSSP

ومن المفارقات أن هذا تضمن معلومات حساسة من شركة أمن سيبراني يمكن التعرف عليها بسهولة.

وفي وقت كتابة هذا التقرير، لا تزال الروابط متاحة مجانًا على كلا النظامين الأساسيين.

الملحقات المميزة

الصورة بواسطة جيمس هاريسون على أونسبلاش