搜索

[14942] 2020-01-04_星巴克开发人员在GitHubPublicRepo中暴露API密钥

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-01-04_星巴克开发人员在GitHubPublicRepo中暴露API密钥 星 巴 克 开 发 人 员 在 G i t H u b   P u b l i c   R e p o 中 暴 露 A P I 密 钥 S a n d r a 1 4 3 2   F r e e B u f   2 0 2 0 - 0 1 - 0 4 星 巴 克 开 发 人 员 的 一 个 失 误 暴 露 了 一 个 星 巴 克 开 发 人 员 的 一 个 失 误 暴 露 了 一 个 A P I 密 钥 ， 攻 击 者 可 以 利 用 该 密 钥 ， 攻 击 者 可 以 利 用 该 A P I 密 钥 访 问 内 部 系 统 并 篡 改 授 权 用 户 列 密 钥 访 问 内 部 系 统 并 篡 改 授 权 用 户 列 表 。 由 于 可 以 访 问 星 巴 克 表 。 由 于 可 以 访 问 星 巴 克 J u m p C l o u d   A P I 的 密 钥 ， 该 漏 洞 的 威 胁 性 评 级 为 的 密 钥 ， 该 漏 洞 的 威 胁 性 评 级 为 “ 严 重 严 重 ” 。 。 影 响 严 重 影 响 严 重 漏 洞 猎 人 V i n o t h   K u m a r 在 公 共 G i t H u b 存 储 库 中 发 现 了 密 钥 ， 负 责 任 地 通 过 H a c k e r O n e 漏 洞 协 调 和 漏 洞 赏 金 平 台 公 开 了 该 密 钥 。 J u m p C l o u d 是 被 称 为 A z u r e   A D 替 代 方 案 的 A c t i v e   D i r e c t o r y 管 理 平 台 。 它 提 供 用 户 管 理 、 W e b 应 用 程 序 单 点 登 录 （ S S O ） 访 问 控 制 和 轻 型 目 录 访 问 协 议 （ L D A P ） 服 务 。 K u m a r 于 1 0 月 1 7 日 报 告 了 这 一 漏 洞 。 近 三 周 后 ， 星 巴 克 回 应 说 ， 该 漏 洞 确 实 容 易 导 致 “ 重 大 信 息 泄 露 ” ， 并 且 有 资 格 获 得 赏 金 。 K u m a r 在 1 0 月 2 1 日 指 出 ， 存 储 库 已 被 删 除 ， A P I 密 钥 已 被 撤 消 ， 星 巴 克 很 快 地 就 解 决 了 该 问 题 。
星 巴 克 花 了 较 长 的 时 间 做 出 响 应 ， 因 为 他 们 需 要 “ 确 保 我 们 面 临 问 题 的 严 重 性 ， 并 已 采 取 及 时 适 当 的 补 救 措 施 ” 。 除 了 识 别 G i t H u b 存 储 库 并 指 定 托 管 A P I 密 钥 的 文 件 之 外 ， K u m a r 还 提 供 了 P o C 代 码 ， 演 示 了 攻 击 者 可 以 如 何 使 用 该 密 钥 。 攻 击 者 除 了 列 出 系 统 和 用 户 之 外 ， 还 可 以 控 制 亚 马 逊 网 络 服 务 （ A W S ） 帐 户 ， 在 系 统 上 执 行 命 令 ， 添 加 或 删 除 授 权 访 问 内 部 系 统 的 用 户 。 支 付 赏 金 支 付 赏 金 星 巴 克 对 K u m a r 采 取 的 补 救 措 施 十 分 满 意 ， 之 后 向 他 支 付 了 4 0 0 0 美 元 的 赏 金 ， 奖 励 其 公 开 漏 洞 ， 这 是 严 重 漏 洞 奖 励 的 最 高 数 额 。 大 多 数 来 自 星 巴 克 的 赏 金 一 般 在 2 5 0 美 元 至 3 7 5 美 元 之 间 。 星 巴 克 自 2 0 1 6 年 启 动 漏 洞 赏 金 计 划 以 来 ， 总 共 解 决 了 8 3 4 个 报 告 ， 在 过 去 三 个 月 中 报 告 了 3 6 9 个 漏 洞 。 为 了 奖 励 这 些 漏 洞 猎 人 ， 星 巴 克 花 了 4 0 0 0 0 美 元 。 今 年 星 巴 克 的 另 一 个 严 重 漏 洞 是 一 个 人 为 疏 忽 ， 可 能 被 用 来 控 制 公 司 的 子 域 。 问 题 是 子 域 指 向 已 被 放 弃 的 A z u r e 云 主 机 。 星 巴 克 为 该 报 告 支 付 了 2 0 0 0 美 元 。 * 参 考 来 源 ： 参 考 来 源 ： B L E E P I N G C O M P U T E R ， ， S a n d r a 1 4 3 2 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理