據(jù)外媒報(bào)道，迪拜網(wǎng)絡(luò)安全的安全研究員莫薩布·侯賽因（ ）近日發(fā)現(xiàn)，三星工程師使用的一個(gè)開發(fā)實(shí)驗(yàn)室泄露了高度敏感的源代碼、憑證和密鑰，其中包括其平臺(tái)項(xiàng)目。

這家電子巨頭已經(jīng)留下了數(shù)十個(gè)內(nèi)部編碼項(xiàng)目網(wǎng)站開發(fā)，例如三星旗下的實(shí)驗(yàn)室 Labs。員工使用此實(shí)例來共享和貢獻(xiàn)代碼給各種三星應(yīng)用程序、服務(wù)和項(xiàng)目。由于這些項(xiàng)目被設(shè)置為“公開”且沒有適當(dāng)?shù)拿艽a保護(hù)，任何人都可以深入了解每個(gè)項(xiàng)目的進(jìn)度，訪問和下載源代碼，從而導(dǎo)致絕密信息泄露。

說，其中一個(gè)項(xiàng)目包含允許任何人訪問三星工程師正在使用的完整 AWS 賬戶的憑據(jù)，其中包括 100 多個(gè)包含日志和分析數(shù)據(jù)的 S3 存儲(chǔ)桶。

此外，許多文件夾包含來自三星和服務(wù)的日志和分析數(shù)據(jù)，還包含由多名員工公開并以明文形式存儲(chǔ)的私人令牌，允許侯賽因利用 42 個(gè)公共項(xiàng)目獲得的信息提供對(duì)另外 135 個(gè)項(xiàng)目，包括許多私人項(xiàng)目。

三星表示其中一些文件用于測試，但 反駁了這一說法，稱在存儲(chǔ)庫中找到的源代碼與 4 月 10 日在 Play 商店中的源代碼相同。已發(fā)布的 () 應(yīng)用程序包含相同代碼。該應(yīng)用已更新網(wǎng)站優(yōu)化，至今已安裝超過 1 億次。

侯賽因還分享了他發(fā)現(xiàn)的幾張截圖和一段視頻，供人們檢查和驗(yàn)證。公共實(shí)例還包含三星 iOS 和 應(yīng)用程序的私有證書。

侯賽因還在泄露的文件中發(fā)現(xiàn)了幾份內(nèi)部文件和幻燈片。 “真正的威脅是php代碼注入漏洞，有人可以在公司不知情的情況下獲得對(duì)應(yīng)用程序源代碼的這種高級(jí)別的訪問權(quán)限，并將惡意代碼注入其中，”他說。

侯賽因還表示，通過公開可用的密鑰和令牌，他記錄了廣泛的訪問權(quán)限，如果被惡意行為者獲得，可能會(huì)產(chǎn)生“災(zāi)難性后果”。

在侯賽因首次披露該問題近一個(gè)月后，三星仍未關(guān)閉侯賽因的漏洞報(bào)告。

在接下來的幾天里，三星開始吊銷 AWS 憑證，但尚不清楚剩余的密鑰和憑證是否已被吊銷。

三星發(fā)言人 Zach 表示：“最近，一位個(gè)人安全研究人員報(bào)告了我們的一個(gè)測試平臺(tái)的安全獎(jiǎng)勵(lì)計(jì)劃存在漏洞。我們立即撤回了他對(duì)測試平臺(tái)的報(bào)告。雖然我們沒有發(fā)現(xiàn)任何外部證據(jù)訪問權(quán)限，我們目前正在進(jìn)一步調(diào)查。”

侯賽因表示，三星直到 4 月 30 日才撤銷隱私政策。關(guān)鍵。三星拒絕回答具體問題，也沒有提供任何證據(jù)表明三星擁有的開發(fā)環(huán)境用于測試。

侯賽因說，三星數(shù)據(jù)泄露是他迄今為止最大的發(fā)現(xiàn)。 “我還沒有見過如此規(guī)模的公司在他們的基礎(chǔ)設(shè)施上使用這種奇怪的方法php代碼注入漏洞，”他說。