三星多個內部項目敏感源代碼泄露，或影響一億用戶

「你要是像三星那麼會作，早都成網紅了！」

宅宅一想，說的嘚：三星這兩年的確有點兒背，先是S7爆炸門兩天蒸發市值200億美元，再是摺疊屏手機被曝質量不過關不得不延期發售日期。

都說人倒霉了喝水都噻牙縫，看來廠商也一樣。這不，趁著老哥點兒背，黑客也給來了個回首~掏：

據Techcrunch報道，SpiderSilk發現三星SmartThings等應用程序的敏感源代碼和密鑰遭到泄露，儲存的AWS賬戶、日誌、分析數據等被公開。

神補刀......

多個敏感源代碼泄露

SpiderSilk安全研究員Mossab Hussein發現了暴露的文件，一個項目包含的憑據允許訪問正在使用的整個AWS賬戶，這其中包括100多個包含日誌和分析數據的S3存儲庫。

發現問題後，SpiderSilk第一時間將情況上報了三星。三星則回復稱，泄露的文件有些只是用於內部測試，不會影響到實際的用戶體驗。

對此，Hussein持反對態度。他稱，上述泄露的文件內容中，包含了以明文形式存儲的幾個員工私有GitLab令牌被暴露，這使得攻擊者能夠從42個公共項目獲得額外的訪問許可權到135個項目，這其中就包括許多私人項目。

「更令人擔心的是，這些文件讓我擁有了幾個內部員工的私人令牌。我完全可以用它訪問GitLab上的全部135個項目，我甚至可以隨意修改賬戶代碼，讓其變成我的東西。」

SmartThings應用或受牽連

那麼，此次事件會不會影響到消費者呢？

Hussein稱，三星在GitLab上留下了數十個內部編碼項目實例託管在三星擁有的域名Vandev Lab上，工作人員在這裡分享和貢獻各種三星應用程序。因為項目被設置為「公共」並且沒有用密碼正確保護，因此允許任何人查看每個項目，訪問並下載源代碼。

而在這些被暴露的GitLab實例中，還包含了三星SmartThings的iOS和Android應用程序的私有證書。Hussein分享了幾個屏幕截圖和他發現的視頻，供TechCrunch檢查和驗證。

公開的AWS憑證的屏幕截圖，允許使用GitLab私有令牌訪問存儲庫

「我在這些被暴露的文件的文件夾中找到了包含三星SmartThings和Bixby服務的日誌以及分析數據。我還在暴露的文件中發現了幾個內部文檔和幻燈片。所以，真正的威脅在於攻擊者有可能獲得對應用程序源代碼的訪問許可權，並在公司不知情的情況下向其注入惡意代碼。」

SpiderSilk分析，目前在已經泄露的存儲庫中已經記錄了大量訪問，如果被惡意行為者獲得可能是「災難性的」後果。

儘管三星稱被泄露內容只用於內部測試，但Hussein發現，實際上被泄露的GitLab存儲庫中的源代碼包含與Android相同的代碼，而該應用程序於4月10日在Google Play上發布。目前，該應用程序已更新多次，迄今安裝量超過一億。

這裡的應用程序，很可能指的就是基於iOS和安卓的SmartThings客戶端。這是三星為智能家居和消費者物聯網構建的開放平台。其構建了集線器，雲平台和客戶端應用程序，是目前智能家居設備的連接解決方案。

Hussein稱，三星的數據泄漏是我迄今為止最大的發現，我沒有看到過有公司使用這種奇怪的做法來處理他們的基礎設施。另一邊，在接下來的幾天里三星開始撤銷AWS憑證，但不知道剩餘的密鑰和證書是否已被撤銷。

三星發言人扎克·杜根(Zach Dugan)表示：目前已經針對上報情況做了處理，但目前仍正在對此進行進一步調查。」

參考來源：Techcrunch雷鋒網雷鋒網雷鋒網

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！