474 жұмыс істеп тұрған GitHub App кілті әлі де белсенді, бір бөлігі әкімші қолжетімділігін береді
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
GitGuardian 474 жұмыс істеп тұрған GitHub App жеке кілтін анықтады, оның ішінде 44-і ұйым әкімшісі құқығына ие. Кейбір кілттер CDC және BuildBuddy жеке кодтарына қолжетімділік берген. CDC кілті 4 қыркүйекте ашылғаннан кейін 18 қыркүйекте жойылды.
Негізгі фактілер
- GitGuardian 500 000-нан астам ашық RSA жеке кілтін тауып, GitHub контекстінде App ID бар 4 802 кілтті анықтады.
- Бұл кілттердің шамамен 10%-ы, яғни 474-і, GitHub API-де 440 түрлі қосымша ретінде әлі де аутентификациядан өтіп тұр.
- Зардап шеккен қосымшалардың 72%-ы жеке репозиторийлердің мазмұнын оқи алды, ал 207-і оларға жаза алды.
- 44 қосымша ұйым әкімшісі құқығына ие болды, 40-ы self-hosted runner-ларды басқара алды, ал 98-і жұмыс процестерін басқарды.
- CDC жеке қосымшасының кілті 2025 жылдың сәуірінде ағып кетіп, 2025 жылдың 18 қыркүйегінде жойылды.
Ағып кету ауқымы
GitGuardian өзінің жария ағып кетулер дерекқорынан 500 000-нан астам ашық RSA жеке кілтін жинады. Ол оларды GitHub контекстінде App ID-мен бірге табылған 4 802 кілтке дейін тарылтты. Бұл кілттердің шамамен 10%-ы, яғни 474-і, GitHub API-де 440 түрлі қосымша ретінде әлі де аутентификациядан өтіп тұр. Көптеген тіркелгі деректерінен айырмашылығы, GitHub App жеке кілттерінің жарамдылық мерзімі жоқ және олар қолмен жойылғанша белсенді болып қалады.
Қолжетімділік және рұқсаттар
Зардап шеккен қосымшалардың шамамен 72%-ы жеке репозиторийлердің мазмұнын оқи алды, ал 207-і оларға жаза алды. Тағы 44-і ұйым әкімшісі құқығына ие болды, 40-ы self-hosted runner-ларды басқара алды, ал 98-і жұмыс процестерін басқарды. GitGuardian мұндай рұқсаттар ұйымды толық басып алуға немесе оның ішкі инфрақұрылымында код орындауға мүмкіндік беруі мүмкін екенін мәлімдеді. Қосымшалардың көпшілігі маркетплейс өнімдері емес еді, ал 59%-ы бір ғана орнатуға ие болды, бұл ішкі автоматтандыру мен бір реттік құралдарды көрсетеді.
Зардап шеккен ұйымдар
cdcent ұйымына тиесілі жеке қосымшаның кілті 2025 жылдың сәуірінде CDCGov репозиторийінде ағып кетті, бұл АҚШ Ауруларды бақылау және алдын алу орталықтарының ресми GitHub ұйымы. Қосымша екі жеке репозиторийге жазу қолжетімділігіне ие болды, олардың бірі CDC репозиторийлерін оның Azure инфрақұрылымымен байланыстыратын сияқты. GitGuardian кілт CDC Azure жалға алушысында ерікті код орындауға мүмкіндік беруі мүмкін екенін, бірақ ол репозиториймен әрекеттеспегенін мәлімдеді. Ол ағып кету туралы HHS ашу порталы арқылы 4 қыркүйекте хабарлады, ал тіркелгі деректері 18 қыркүйекте жойылды. BuildBuddy әзірлеу ішкі қосымшасының кілті 2025 жылдың маусымында компанияның негізгі репозиторийіне жазу және әкімшілік құқықтарымен ағып кетті.
2 дереккөз
Уақыт · артта қалуы