三星多個專案程式碼洩露 包括SmartThings原始碼和金鑰

美國科技媒體報導稱，一名資訊保安研究員近期發現，三星工程師使用的一個開發平臺洩露了多個內部專案，包括三星SmartThings敏感的原始碼、證書和金鑰。三星數十個自主編碼專案出現在旗下Vandev Lab的GitLab例項中。該例項被三星員工用於分享並貢獻各種應用、服務和專案的程式碼。由於這些專案被設定為“公開”，同時沒有受到密碼的保護，因此任何人都可以檢視專案，獲取並下載原始碼。

杜拜資訊保安公司SpiderSilk的安全研究員莫撒佈·胡賽因（Mossab Hussein）發現了這些洩露的檔案。他表示，某個專案包含的證書允許訪問正在使用的整個AWS帳號，包括100多個S3儲存單元，其中儲存了日誌和分析資料。

（部分洩露程式碼截圖）

他指出，許多資料夾包含三星SmartThings和Bixby服務的日誌和分析資料，以及幾名員工以明文儲存的私有GitLab令牌。這使得他可以額外獲得42個公開專案，以及多個私有專案的訪問許可權。

三星回應稱，其中一些檔案是用於測試的，但胡賽因對此提出質疑。他表示，在GitLab程式碼倉庫中發現的原始碼與4月10日在Google Play上釋出的Android應用包含的程式碼相同。這款應用隨後又有過升級，到目前為止的安裝量已經超過1億多次。

胡賽因說：“我獲得了一名使用者的私有令牌，該使用者可以完全訪問GitLab上的所有135個專案。”因此，他可以使用該員工的帳號去修改程式碼。

胡賽因還提供了多張螢幕截圖和視訊作為證據。洩露的GitLab例項中還包括三星SmartThings的iOS和Android應用的私有證書。

來源：新浪科技

下一篇：“手機牆”4個月“刷單”騙走1200餘萬元 - “流量造假”亂象何時休？