Ένας λάθος αποκαλούμενος κωδικός πρόσβασης επιτρέπει στον hacker να έχει πρόσβαση σε εσωτερικά αρχεία Comodo

Ένας λάθος αποκαλούμενος κωδικός πρόσβασης επιτρέπει στον hacker να έχει πρόσβαση σε εσωτερικά αρχεία Comodo


Ένας χάκερ απέκτησε πρόσβαση σε εσωτερικά αρχεία και έγγραφα που ανήκουν στην εταιρία ασφάλειας και στον εκδότη πιστοποιητικών SSL Comodo χρησιμοποιώντας μια διεύθυνση ηλεκτρονικού ταχυδρομείου και έναν κωδικό πρόσβασης που έχουν λανθασμένα εκτεθεί στο διαδίκτυο.

Τα διαπιστευτήρια βρέθηκαν σε δημόσιο χώρο αποθήκευσης GitHub που ανήκε σε Comodo προγραμματιστής λογισμικού. Με τη διεύθυνση ηλεκτρονικού ταχυδρομείου και τον κωδικό πρόσβασης στο χέρι, ο χάκερ μπόρεσε να συνδεθεί με τις υπηρεσίες cloud που φιλοξενούνται από την Microsoft.

Ο Jelle Ursem, ερευνητής ασφαλείας της Ολλανδίας που βρήκε τα διαπιστευτήρια, ήρθε σε επαφή με τον αντιπρόεδρο της Comodo Rajaswi Das από την WhatsApp για να εξασφαλίσει τον λογαριασμό.

Ο Ursem δήλωσε στην TechCrunch ότι ο λογαριασμός του επέτρεψε να έχει πρόσβαση σε εσωτερικά αρχεία και έγγραφα Comodo, συμπεριλαμβανομένων των εγγράφων πωλήσεων και των υπολογιστικών φύλλων στο OneDrive της εταιρίας – και της γραφικής παράστασης της εταιρείας στο SharePoint, επιτρέποντάς του να δει (19659002)

Ένα στιγμιότυπο οθόνης ενός προσωπικού ημερολογίου στην εσωτερική περιοχή του Comodo.

Επίσης, μοιράστηκε μερικά screenshots των φακέλων που περιέχουν συμφωνίες και συμβάσεις με διάφορους πελάτες – με τα ονόματα των πελατών σε κάθε όνομα αρχείου, όπως νοσοκομεία και κυβερνήσεις των ΗΠΑ. Άλλα έγγραφα εμφανίστηκαν ως αναφορές ευπάθειας Comodo. «Επειδή είναι μια εταιρεία ασφάλειας και δίνουν τα πιστοποιητικά SSL, νομίζετε ότι η ασφάλεια του δικού τους περιβάλλοντος θα έρθει πρώτη (1965) πάνω από όλα ", δήλωσε ο Ursem

Αλλά σύμφωνα με τον Ursem, δεν ήταν ο πρώτος που βρήκε την εκτεθειμένη διεύθυνση ηλεκτρονικού ταχυδρομείου και τον κωδικό πρόσβασης

" Αυτός ο λογαριασμός έχει ήδη πειραχτεί από κάποιον άλλον, ο οποίος έχει στείλει out spam ", δήλωσε στην TechCrunch. Μοιράστηκε ένα στιγμιότυπο ενός μηνύματος ηλεκτρονικού ταχυδρομείου με ανεπιθύμητη αλληλογραφία που αποστέλλεται με σκοπό να προσφέρει επιστροφές φόρου από το γαλλικό υπουργείο Οικονομικών.

Έχουμε φτάσει στο Comodo για σχόλιο πριν από τη δημοσίευση. Ένας εκπρόσωπος δήλωσε ότι ο λογαριασμός ήταν ένας "αυτοματοποιημένος λογαριασμός που χρησιμοποιείται για εμπορικούς και συναλλακτικούς σκοπούς", προσθέτοντας: "Τα δεδομένα που προσεγγίστηκαν δεν έγιναν με κανέναν τρόπο και μέσα σε λίγες ώρες από την κοινοποίησή τους από τον ερευνητή, ο λογαριασμός ήταν κλειδωμένος."

Είναι το τελευταίο παράδειγμα εκτεθειμένων εταιρικών κωδικών πρόσβασης που βρίσκονται σε δημόσιους χώρους αποθήκευσης GitHub, όπου οι προγραμματιστές αποθηκεύουν κώδικα στο διαδίκτυο. Πολύ συχνά, οι προγραμματιστές ανεβάζουν αρχεία που περιέχουν ακούσια ιδιωτικά διαπιστευτήρια που χρησιμοποιούνται για εσωτερικές δοκιμές μόνο. Οι ερευνητές όπως το Ursem σαρώνουν τακτικά αποθήκες για κωδικούς πρόσβασης και τις αναφέρουν στις εταιρείες, συχνά σε αντάλλαγμα για τα bugs

νωρίτερα φέτος. . Η Uber παραβιάστηκε επίσης το 2016 αφού οι hackers βρήκαν εσωτερικά διαπιστευτήρια στο GitHub

>Μεταφρασμένο από την Google <
Source link

Αφήστε ένα σχόλιο

Αυτός ο ιστότοπος χρησιμοποιεί το Akismet για να μειώσει τα ανεπιθύμητα σχόλια. Μάθετε πώς υφίστανται επεξεργασία τα δεδομένα των σχολίων σας.