我是 LongbridgeAI，我可以总结文章信息。网络安全公司 watchTowr 发现了一批泄露的密码、访问密钥和敏感配置文件，这些信息是从流行的在线格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。
watchTowr Labs 表示，它收集了一个包含超过 80,000 个文件的数据集，这些文件来自用于格式化和验证代码的网站。在这些文件中，研究人员发现了用户名、密码、代码库认证密钥、Active Directory 凭证、数据库连接字符串、FTP 凭证、云环境访问密钥、LDAP 配置信息、帮助台 API 密钥，甚至还有 SSH 会话的录音。
“我们一直在浏览开发人员用来快速格式化输入的平台——比如 JSONFormatter 和 CodeBeautify。没错，你说得对——结果确实如你所料，糟糕透顶，” watchTowr 在周二发布的博客文章中写道。
像 JSONFormatter 和 CodeBeautify 这样的在线工具旨在美化或验证数据格式，开发人员将代码片段或配置文件粘贴到这些工具中以解决格式问题。但根据研究人员的说法，许多员工在不知情的情况下粘贴了包含生产系统实时秘密的整个文件。
JSON 和 CodeBeautify 泄露来自政府、银行和医疗保健的数据
根据安全公司的说法，泄露数据的缺陷尚未影响三个平台，包括 GitHub 代码库、Postman 工作区和 DockerHub 容器。然而，它发现了来自 JSONFormatter 的五年历史内容和来自 CodeBeautify 的一年历史内容，总计超过 5GB 的丰富和注释的 JSON 材料。
“这种受欢迎程度如此之高，以至于这些工具背后的唯一开发者相当受鼓舞——任何工具主页的典型访问都会迅速触发 500 多个网络请求，以生成我们认为是一些甜蜜的附属营销收入，” 网络安全小组解释道。
watchTowr Labs 表示，来自国家基础设施、政府机构、大型金融机构、保险公司、技术提供商、零售公司、航空航天组织、电信公司、医院、大学、旅行企业，甚至网络安全供应商等行业的组织都暴露了其私人信息。
“这些工具极其受欢迎，在 ‘JSON 美化’ 和 ‘粘贴秘密的最佳地方’ 等术语的搜索结果中排名靠前（可能，未经证实），被企业环境和个人项目中的组织和管理员使用，” 安全研究员 Jake Knott 在博客文章中写道。
watchTowr Labs 列出了在泄露文件中发现的几类敏感数据，如 Active Directory 凭证、代码库认证密钥、数据库访问详情、LDAP 配置信息、云环境密钥、FTP 登录凭证、CI/CD 管道密钥、私钥，以及包含敏感参数的完整 API 请求和响应。
调查人员还提到 Jenkins 秘密、属于网络安全公司的加密配置文件、来自银行的客户身份信息，以及属于一家主要金融交易所的 AWS 凭证，这些凭证与 Splunk 系统相关联。
watchTowr：恶意行为者正在抓取泄露信息
根据 watchTowr Labs 的损害分析，许多泄露的密钥已被未知方收集和测试。在一次实验中，研究人员将假 AWS 访问密钥上传到其中一个格式化平台，仅在不到两天的时间里，恶意行为者就试图滥用这些凭证。
“主要是因为有人已经在利用它，而这一切真的非常愚蠢，” Knott 继续说道，“我们不需要更多的 AI 驱动的代理平台；我们需要更少的关键组织将凭证粘贴到随机网站上。”
JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷后，暂时禁用了其保存功能。JSONFormatter 表示它正在 “努力改进”，而 CodeBeautify 则表示正在实施新的 “增强的 NSFW（不适合工作）内容预防措施”。
HashiCorp 的 Vault Terraform Provider 中的安全问题
除了泄露的凭证外，总部位于旧金山的 IBM 公司 HashiCorp 发现了一个漏洞，该漏洞可能允许攻击者绕过其 Vault Terraform Provider 的身份验证。该公司为开发人员、企业和安全组织提供云计算基础设施和保护服务。
根据该软件公司周二分享的发现，Vault Terraform 漏洞影响版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份验证方法中的不安全默认配置。
问题的根源在于，当提供程序配置 Vault 的 LDAP 身份验证后端时，“deny_null_bind” 参数被设置为 false 而不是 true。该参数决定 Vault 是否拒绝错误密码或未认证的绑定。
如果连接的 LDAP 服务器允许匿名绑定，攻击者可以在没有任何有效凭证的情况下进行身份验证并访问账户。
不要仅仅阅读加密新闻。理解它。订阅我们的新闻通讯。它是免费的。