三星多个代码泄密，包括SmartThings敏感的源代码、证书和密钥！

2019-05-10 09:44

5月9日，据美国科技媒体TechCrunch报道，一名信息安全研究员近期发现，三星工程师使用的一个开发平台泄露了多个内部项目，包括三星SmartThings敏感的源代码、证书和密钥。

三星数十个自主编码项目出现在旗下Vandev Lab的GitLab实例中。该实例被三星员工用于分享并贡献各种应用、服务和项目的代码。由于这些项目被设置为“公开”，同时没有受到密码的保护，因此任何人都可以查看项目，获取并下载源代码，从而导致绝密信息泄露。

迪拜信息安全公司SpiderSilk的安全研究员莫撒布·胡赛因（Mossab Hussein）发现了这些泄露的文件。他表示，某个项目包含的证书允许访问正在使用的整个AWS帐号，包括100多个S3存储单元，其中保存了日志和分析数据。

他指出，许多文件夹包含三星SmartThings和Bixby服务的日志和分析数据，以及几名员工以明文保存的私有GitLab令牌。这使得他可以额外获得42个公开项目，以及多个私有项目的访问权限。

三星回应称，其中一些文件是用于测试的，但胡赛因对此提出质疑。他表示，在GitLab代码仓库中发现的源代码与4月10日在Google Play上发布的Android应用包含的代码相同。这款应用随后又有过升级，到目前为止的安装量已经超过1亿多次。

胡赛因说：“我获得了一名用户的私有令牌，该用户可以完全访问GitLab上的所有135个项目。”因此，他可以使用该员工的帐号去修改代码。

胡赛因还提供了多张屏幕截图和视频作为证据。泄露的GitLab实例中还包括三星SmartThings的iOS和Android应用的私有证书。

三星发言人扎克·杜根（Zach Dugan）表示：“最近，一位个人安全研究员报告说，我们一个测试平台的安全奖励计划存在漏洞。我们迅速撤销了其报告测试平台的所有密钥和凭证，虽然我们尚未找到任何外部访问的证据，但我们目前正在对此进行进一步调查。”

侯赛因称，三星的数据泄露是他迄今最大的发现。他说：“我还没有见过这么大的一家公司使用这种奇怪的做法来处理他们的基础设施。”

声明： 本文系OFweek根据授权转载自其它媒体或授权刊载，目的在于信息传递，并不代表本站赞同其观点和对其真实性负责，如有新闻稿件和图片作品的内容、版权以及其它问题的，请联系我们。

共0条评论，0人参与

登录登录即可访问所有OFweek服务

请输入评论内容...

请输入评论/评论长度6~500个字

暂无评论

图片新闻

行业报告