.gov alan adını kullanan binlerce web sitesi de dahil olmak üzere yüz binlerce web sitesi veri kaybı riski altındadır (yeni sekmede açılır)uzmanlar uyardı.
Defense.com’dan siber güvenlik araştırmacıları, açık kaynak geliştirme aracı Git’te, ele alınmadığı takdirde tehdit aktörlerine krallığın anahtarlarını sağlayan bir güvenlik açığı keşfetti.
Görünüşe göre, gizlenmesi gereken bir dizi .git klasörü var, ancak çoğu durumda değil. Araştırmacılar, ciddi bir kusur olsa da, bunun doğrudan Git’in hatası olmadığını, daha çok Git kullanıcılarının en iyi uygulamayı takip etmediğini söylüyor. Özel olarak hazırlanmış bir Google dork yardımıyla, bir tehdit aktörü bu klasörleri bulabilir ve içeriklerini indirebilir.
Riski ortadan kaldırmak
Bu klasörlerde bulunan dosyalar genellikle tüm kod tabanı geçmişini, önceki kod değişikliklerini, yorumları, güvenlik anahtarlarını ve ayrıca gizli dizileri ve düz metin parolalı dosyaları içeren hassas uzak yolları içerir. Parolaları ve hassas verileri ifşa etme tehdidinin yanı sıra, gizli bir tehdit de var – bilgisayar korsanları kodu inceleyebilir ve muhtemelen düzeltmeyecekleri, bunun yerine kötüye kullanabilecekleri ek kusurlar bulabilirler. Dahası, bu klasörler veritabanı kimlik bilgilerini ve API anahtarlarını içerebilir ve bu da tehdit aktörlerinin hassas kullanıcı verilerine erişmesini sağlar.
Defence.com, toplamda, 2.500’ü .gov alanında ikamet eden 332.000 web sitesinin potansiyel olarak savunmasız olarak bulunduğunu söylüyor.
“Açık kaynak (yeni sekmede açılır) teknoloji her zaman güvenlik kusurları potansiyeline sahiptir ve kökleri herkesin erişebileceği kodlara dayanmaktadır. Ancak, bu düzeyde bir güvenlik açığı kabul edilebilir değil, ”diyor Defense.com CEO’su Oliver Pinson-Roxburgh. “Birleşik Krallık hükümeti de dahil olmak üzere kuruluşlar, sistemlerini izlemelerini ve riski gidermek için acil adımlar atmalarını sağlamalıdır.”
Pinson-Roxburgh, Git’in son derece popüler bir açık kaynaklı sürüm kontrol sistemi olduğunu ve 80 milyondan fazla aktif kullanıcıya sahip olduğunu ekliyor ve böylesine popüler bir platformda bu tür bir güvenlik açığının etkilenen firmalar için “ciddi sonuçlar” doğurabileceğini söylüyor.
“Bazı klasörlerin kasıtlı olarak erişilebilir bırakılacağı doğru olsa da, büyük çoğunluk karşı karşıya oldukları tehdidin farkında olmayacak” dedi.