三星工程师使用的开发实验室正在泄露高度敏感的源代码、凭证和几个内部项目的密钥——包括 SmartThings 平台。

三星旗下 Vandev Lab 上托管的 GitLab 实例中留下了数十个内部编码项目。该实例被三星员工用来分享和贡献各种三星应用程序、服务和项目代码,由于项目被设置为 “公开” 且没有受到密码保护,因此任何人都可以查看每个项目,访问并下载源代码。

总部位于迪拜的网络安全公司 SpiderSilk 的安全研究员 Mossab Hussein 发现了这些泄露的文件,他表示,某个项目包含的证书允许访问正在使用的整个 AWS 账户,包括 100 多个 S3 存储单元,其中保存了日志和分析数据。

他指出,许多文件夹包含三星 SmartThings 和 Bixby 服务的日志和分析数据,还包括以明文形式存储的几个员工的私有 GitLab 令牌,这使他能够从 42 个公共项目,以及许多私人项目中获得额外访问权限。

公开的 AWS 凭证的屏幕截图

三星回应称,其中一些文件是用于测试的,但 Hussein 对此提出质疑,他表示,在 GitLab 代码库中发现的源代码与 4 月 10 日在 Google Play 上发布的 Android 应用包含的代码相同。这款应用随后有过升级,到目前为止安装量已超过 1 亿次

Hussein 提供了多张屏幕截图和视频作为证据。泄露的 GitLab 实例中还包括三星 SmartThings 的 iOS 和 Android 应用的私有证书。

通过泄露的私钥和令牌,Hussein 记录了大量访问请求,他说,如果被恶意者获得,结果可能是 “灾难性的”。

 

via TechCrunch