搜索

[14139] 2019-05-22_福布斯全球2000强企业HCL大量员工和商业信息公开暴露

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2019-05-22_福布斯全球2000强企业HCL大量员工和商业信息公开暴露 福 布 斯 全 球 2 0 0 0 强 企 业 H C L 大 量 员 工 和 商 业 信 息 公 开 暴 露 A d l e r I   F r e e B u f   2 0 1 9 - 0 5 - 2 2 近 日 ， 近 日 ， U p G u a r d 研 究 团 队 发 现 位 列 福 布 斯 全 球 研 究 团 队 发 现 位 列 福 布 斯 全 球 2 0 0 0 强 的 强 的 I T 服 务 和 咨 询 公 司 服 务 和 咨 询 公 司 H i n d u s t a n 计 算 机 有 限 公 司 （ 计 算 机 有 限 公 司 （ H C L ） ） 存 在 信 息 泄 露 的 风 险 。 存 在 信 息 泄 露 的 风 险 。 H C L 在 多 个 子 域 上 托 管 了 可 公 开 访 问 的 页 面 和 在 多 个 子 域 上 托 管 了 可 公 开 访 问 的 页 面 和 W e b 界 面 ， 导 致 大 量 员 工 和 商 业 信 息 公 开 界 面 ， 导 致 大 量 员 工 和 商 业 信 息 公 开 暴 露 。 暴 露 。 H C L 科 技 是 一 家 印 度 公 司 ， 其 客 户 涵 盖 福 布 斯 5 0 0 强 中 的 2 0 0 多 家 企 业 。 H C L 为 大 约 4 0 个 国 家 的 跨 产 业 上 下 游 产 业 链 提 供 服 务 ， 包 括 I T 服 务 、 银 行 金 融 、 电 信 、 航 空 与 国 防 、 能 源 与 公 用 事 业 、 汽 车 、 媒 体 娱 乐 、 零 售 及 消 费 服 务 、 运 输 和 物 流 等 多 个 领 域 。 U p G u a r d 研 究 团 队 最 早 在 5 月 1 日 就 发 现 了 这 些 安 全 隐 患 ， 当 时 他 们 在 H C L 域 中 检 测 到 一 个 可 免 费 下 载 的 文 档 （ 包 含 客 户 关 键 字 ） ， 随 后 发 现 了 “ 其 他 可 公 开 访 问 的 页 面 ， 包 含 个 人 和 商 业 数 据 ” 。 暴 露 的 数 据 “ 包 括 新 雇 员 的 个 人 信 息 和 明 文 密 码 、 客 户 基 础 设 施 安 装 报 告 以 及 管 理 人 员 的 W e b 应 用 程 序 。 ” 暴 露 的 H C L   H R 管 理 系 统 U p G u a r d 团 队 一 共 花 了 5 天 时 间 对 暴 露 的 数 据 进 行 分 析 。 他 们 发 现 了 一 个 管 理 面 板 ， 用 于 管 理 新 员 工 的 人 事 记 录 ， 其 中
公 开 暴 露 的 共 有 3 6 4 条 记 录 。 U p G u a r d 的 研 究 报 告 摘 录 如 下 ： 记 录 最 早 可 追 溯 到 2 0 1 3 年 。 其 中 ， 2 0 1 9 年 的 新 纪 录 超 过 2 0 0 条 ， 还 有 5 4 条 记 录 是 2 0 1 9 年 5 月 6 日 刚 加 入 的 。 这 些 数 据 详 情 包 括 应 聘 者 的 I D 、 姓 名 ， 手 机 号 码 、 加 入 日 期 、 加 入 地 点 、 招 聘 人 员 S A P 代 码 、 招 聘 人 员 姓 名 、 创 建 日 期 、 用 户 名 、 明 文 密 码 、 B G V 状 态 、 已 接 受 的 o f f e r 以 及 应 聘 申 请 表 的 链 接 。 其 中 ， 泄 露 的 密 码 带 来 的 风 险 最 大 ， 可 能 被 用 于 访 问 这 些 员 工 可 以 访 问 的 其 他 H C L 系 统 。 此 外 ， U p G u a r d 的 研 究 人 员 在 其 他 不 需 要 身 份 验 证 的 页 面 上 还 发 现 了 更 多 泄 露 信 息 ： 超 过 2 , 8 0 0 名 员 工 的 名 称 和 S A P 代 码 可 以 使 用 S A P 代 码 和 名 称 查 找 和 ' 停 用 ' 员 工 ” 的 界 面 使 用 S m a r t M a n a g e 报 告 系 统 管 理 的 客 户 安 装 报 告 和 项 目 数 据 一 份 内 部 分 析 报 告 数 据 库 ， 包 含 5 7 0 0 条 事 件 记 录 、 每 周 客 户 报 告 （ 约 1 8 , 0 0 0 个 条 目 ） 以 及 可 追 溯 到 2 0 1 6 年 的 安 装 报 告 泄 露 的 S m a r t M a n a g e 报 告 系 统 发 现 H C L 存 在 信 息 泄 露 风 险 之 后 ， U p G u a r d 向 H C L 的 数 据 保 护 官 发 送 了 预 警 信 息 ， 详 细 描 述 了 暴 露 的 内 容 （ 数 据 的 性 质 、 两 个 可 公 开 访 问 的 页 面 、 子 域 名 列 表 ） 和 存 在 的 风 险 。 目 前 ， 他 们 并 未 收 到 回 复 ， 但 是 却 在 5 月 7 日 发 现 预 警 中 提 到 的 两 个 可 公 开 访 问 页 面 已 经 得 到 了 安 全 保 护 ， 需 要 有 效 认 证 才 可 访 问 。 但 其 他 没 在 预 警 信 息 中 提 到 的 页 面 仍 然 处 于 不 安 全 的 状 态 。 U p G u a r d 团 队 表 示 ： 团 队 分 析 师 向 H C L 补 发 了 一 份 电 子 邮 件 ， 补 充 了 可 能 涉 及 数 据 泄 露 的 其 他 页 面 。 到 5 月 8 日 ， 他 们 发 现 这 些 页 面 也 设 置 了 访 问 权 限 。
S m a r t M a n a g e   报 告 检 索 界 面 目 前 ， H C L 仍 未 对 此 事 发 表 公 开 回 复 ， 不 过 至 少 及 时 响 应 了 研 究 人 员 的 提 醒 并 采 取 了 防 护 和 补 救 措 施 。 U p G u a r d 认 为 ， H C L 及 时 有 效 的 响 应 值 得 其 他 存 在 泄 露 风 险 的 企 业 学 习 。 * 参 考 来 源 ： b l e e p i n g c o m p u t e r ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理