<p><strong>网络安全公司 watchTowr 发现了一批泄露的密码、访问密钥和敏感配置文件，这些信息是从流行的在线格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。</strong></p>
<p>watchTowr Labs 表示，它收集了一个包含超过 80,000 个文件的数据集，这些文件来自用于格式化和验证代码的网站。在这些文件中，研究人员发现了用户名、密码、代码库认证密钥、Active Directory 凭证、数据库连接字符串、FTP 凭证、云环境访问密钥、LDAP 配置信息、帮助台 API 密钥，甚至还有 SSH 会话的录音。</p>
<p>“我们一直在浏览开发人员用来快速格式化输入的平台——比如 JSONFormatter 和 CodeBeautify。没错，你说得对——结果确实如你所料，糟糕透顶，” watchTowr 在周二发布的博客文章中写道。</p>
<p>像 JSONFormatter 和 CodeBeautify 这样的在线工具旨在美化或验证数据格式，开发人员将代码片段或配置文件粘贴到这些工具中以解决格式问题。但根据研究人员的说法，许多员工在不知情的情况下粘贴了包含生产系统实时秘密的整个文件。</p>
<h3>JSON 和 CodeBeautify 泄露来自政府、银行和医疗保健的数据</h3>
<p>根据安全公司的说法，泄露数据的缺陷尚未影响三个平台，包括 GitHub 代码库、Postman 工作区和 DockerHub 容器。然而，它发现了来自 JSONFormatter 的五年历史内容和来自 CodeBeautify 的一年历史内容，总计超过 5GB 的丰富和注释的 JSON 材料。</p>
<p>“这种受欢迎程度如此之高，以至于这些工具背后的唯一开发者相当受鼓舞——任何工具主页的典型访问都会迅速触发 500 多个网络请求，以生成我们认为是一些甜蜜的附属营销收入，” 网络安全小组解释道。</p>
<p>watchTowr Labs 表示，来自国家基础设施、政府机构、大型金融机构、保险公司、技术提供商、零售公司、航空航天组织、电信公司、医院、大学、旅行企业，甚至网络安全供应商等行业的组织都暴露了其私人信息。</p>
<p>“这些工具极其受欢迎，在 ‘JSON 美化’ 和 ‘粘贴秘密的最佳地方’ 等术语的搜索结果中排名靠前（可能，未经证实），被企业环境和个人项目中的组织和管理员使用，” 安全研究员 Jake Knott 在博客文章中写道。</p>
<p>watchTowr Labs 列出了在泄露文件中发现的几类敏感数据，如 Active Directory 凭证、代码库认证密钥、数据库访问详情、LDAP 配置信息、云环境密钥、FTP 登录凭证、CI/CD 管道密钥、私钥，以及包含敏感参数的完整 API 请求和响应。</p>
<p>调查人员还提到 Jenkins 秘密、属于网络安全公司的加密配置文件、来自银行的客户身份信息，以及属于一家主要金融交易所的 AWS 凭证，这些凭证与 Splunk 系统相关联。</p>
<h3>watchTowr：恶意行为者正在抓取泄露信息</h3>
<p>根据 watchTowr Labs 的损害分析，许多泄露的密钥已被未知方收集和测试。在一次实验中，研究人员将假 AWS 访问密钥上传到其中一个格式化平台，仅在不到两天的时间里，恶意行为者就试图滥用这些凭证。</p>
<p>“主要是因为有人已经在利用它，而这一切真的非常愚蠢，” Knott 继续说道，“我们不需要更多的 AI 驱动的代理平台；我们需要更少的关键组织将凭证粘贴到随机网站上。”</p>
<p>JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷后，暂时禁用了其保存功能。JSONFormatter 表示它正在 “努力改进”，而 CodeBeautify 则表示正在实施新的 “增强的 NSFW（不适合工作）内容预防措施”。</p>
<h3>HashiCorp 的 Vault Terraform Provider 中的安全问题</h3>
<p>除了泄露的凭证外，总部位于旧金山的 IBM 公司 HashiCorp 发现了一个漏洞，该漏洞可能允许攻击者绕过其 Vault Terraform Provider 的身份验证。该公司为开发人员、企业和安全组织提供云计算基础设施和保护服务。</p>
<p>根据该软件公司周二分享的发现，Vault Terraform 漏洞影响版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份验证方法中的不安全默认配置。</p>
<p>问题的根源在于，当提供程序配置 Vault 的 LDAP 身份验证后端时，“deny_null_bind” 参数被设置为 false 而不是 true。该参数决定 Vault 是否拒绝错误密码或未认证的绑定。</p>
<p>如果连接的 LDAP 服务器允许匿名绑定，攻击者可以在没有任何有效凭证的情况下进行身份验证并访问账户。</p>
<p>不要仅仅阅读加密新闻。理解它。订阅我们的新闻通讯。它是免费的。</p>

<p>网络安全公司 watchTowr 发现了来自在线代码格式化工具如 JSONFormatter 和 CodeBeautify 的超过 80,000 个泄露的密码和敏感文件。这些泄露包括来自各个行业的凭证，使其面临潜在恶意行为者的威胁。JSONFormatter 和 CodeBeautify 暂时禁用了保存功能以解决此问题。此外，HashiCorp 发现其 Vault Terraform Provider 中存在一个影响 LDAP 认证的漏洞，允许未经授权的访问</p>

<p><strong>Cybersecurity firm watchTowr has uncovered a trove of leaked passwords, access keys, and sensitive configuration files that were unintentionally exposed from popular online formatting tools, JSON formatter, and CodeBeautify.</strong></p>
<div class="lb-trans"><p><strong>网络安全公司 watchTowr 发现了一批泄露的密码、访问密钥和敏感配置文件，这些信息是从流行的在线格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。</strong></p>
</div><p>watchTowr Labs said it collected a dataset containing more than 80,000 files from sites used to format and validate code. Within those files, researchers found usernames, passwords, repository authentication keys, Active Directory credentials, database connection strings, FTP credentials, cloud environment access keys, LDAP configuration details, helpdesk API keys, and even recordings of SSH sessions.</p>
<div class="lb-trans"><p>watchTowr Labs 表示，它收集了一个包含超过 80,000 个文件的数据集，这些文件来自用于格式化和验证代码的网站。在这些文件中，研究人员发现了用户名、密码、代码库认证密钥、Active Directory 凭证、数据库连接字符串、FTP 凭证、云环境访问密钥、LDAP 配置信息、帮助台 API 密钥，甚至还有 SSH 会话的录音。</p>
</div><p>“We’ve been rifling through platforms that developers use to quickly format their input – like JSONFormatter and CodeBeautify. And yes, you are correct – it went exactly as badly as you might expect,” watchTowr’s blog post published on Tuesday.</p>
<div class="lb-trans"><p>“我们一直在浏览开发人员用来快速格式化输入的平台——比如 JSONFormatter 和 CodeBeautify。没错，你说得对——结果确实如你所料，糟糕透顶，” watchTowr 在周二发布的博客文章中写道。</p>
</div><p>Online utilities such as JSONFormatter and CodeBeautify are meant to beautify or validate data formats, where devs paste snippets of code or configuration files into them to troubleshoot formatting issues. But according to researchers, many employees are unknowingly pasting entire files that contain live secrets from production systems.</p>
<div class="lb-trans"><p>像 JSONFormatter 和 CodeBeautify 这样的在线工具旨在美化或验证数据格式，开发人员将代码片段或配置文件粘贴到这些工具中以解决格式问题。但根据研究人员的说法，许多员工在不知情的情况下粘贴了包含生产系统实时秘密的整个文件。</p>
</div><h3>JSON and CodeBeautify leak data from government, banks, and healthcare</h3>
<div class="lb-trans"><h3>JSON 和 CodeBeautify 泄露来自政府、银行和医疗保健的数据</h3>
</div><p>According to the security firm, the leaked data flaw has yet to affect three platforms, including GitHub repositories, Postman workspaces, and DockerHub containers. However, it found five years of historical content from JSONFormatter and one year of historical content from CodeBeautify, totaling more than 5 gigabytes of enriched and annotated JSON material.</p>
<div class="lb-trans"><p>根据安全公司的说法，泄露数据的缺陷尚未影响三个平台，包括 GitHub 代码库、Postman 工作区和 DockerHub 容器。然而，它发现了来自 JSONFormatter 的五年历史内容和来自 CodeBeautify 的一年历史内容，总计超过 5GB 的丰富和注释的 JSON 材料。</p>
</div><p>“The popularity is so great that the sole developer behind these tools is fairly inspired – with a typical visit to any tool homepage triggering 500+ web requests pretty quickly to generate what we assume is some sweet, sweet affiliate marketing revenue,” the cybersecurity group explained.</p>
<div class="lb-trans"><p>“这种受欢迎程度如此之高，以至于这些工具背后的唯一开发者相当受鼓舞——任何工具主页的典型访问都会迅速触发 500 多个网络请求，以生成我们认为是一些甜蜜的附属营销收入，” 网络安全小组解释道。</p>
</div><p>watchTowr Labs said organizations from industries like national infrastructure, government agencies, major financial institutions, insurance companies, technology providers, retail firms, aerospace organizations, telecoms, hospitals, universities, travel businesses, and even cybersecurity vendors have all had their private information exposed.</p>
<div class="lb-trans"><p>watchTowr Labs 表示，来自国家基础设施、政府机构、大型金融机构、保险公司、技术提供商、零售公司、航空航天组织、电信公司、医院、大学、旅行企业，甚至网络安全供应商等行业的组织都暴露了其私人信息。</p>
</div><p>“These tools are extremely popular, appearing near the top of search results for terms like ‘JSON beautify’ and ‘best place to paste secrets’ (probably, unproven), used by organizations and administrators in both enterprise environments and for personal projects,” Security researcher Jake Knott wrote in the blog post.</p>
<div class="lb-trans"><p>“这些工具极其受欢迎，在 ‘JSON 美化’ 和 ‘粘贴秘密的最佳地方’ 等术语的搜索结果中排名靠前（可能，未经证实），被企业环境和个人项目中的组织和管理员使用，” 安全研究员 Jake Knott 在博客文章中写道。</p>
</div><p>watchTowr Labs listed several categories of sensitive data found within the exposed files like Active Directory credentials, code repository authentication keys, database access details, LDAP configuration information, cloud environment keys, FTP login credentials, CI/CD pipeline keys, private keys, and full API requests and responses with sensitive parameters.</p>
<div class="lb-trans"><p>watchTowr Labs 列出了在泄露文件中发现的几类敏感数据，如 Active Directory 凭证、代码库认证密钥、数据库访问详情、LDAP 配置信息、云环境密钥、FTP 登录凭证、CI/CD 管道密钥、私钥，以及包含敏感参数的完整 API 请求和响应。</p>
</div><p>Investigators also mentioned Jenkins secrets, encrypted configuration files belonging to a cybersecurity firm, Know Your Customer information from banks, and AWS credentials belonging to a major financial exchange that were connected to Splunk systems.</p>
<div class="lb-trans"><p>调查人员还提到 Jenkins 秘密、属于网络安全公司的加密配置文件、来自银行的客户身份信息，以及属于一家主要金融交易所的 AWS 凭证，这些凭证与 Splunk 系统相关联。</p>
</div><h3>watchTowr: Malicious actors are scraping the leaks</h3>
<div class="lb-trans"><h3>watchTowr：恶意行为者正在抓取泄露信息</h3>
</div><p>According to watchTowr Labs’ damage analysis, many of the leaked keys have been collected and tested by unknown parties. In an experiment, researchers uploaded fake AWS access keys to one of the formatting platforms, and in just under two days, malicious actors attempted to abuse the credentials.</p>
<div class="lb-trans"><p>根据 watchTowr Labs 的损害分析，许多泄露的密钥已被未知方收集和测试。在一次实验中，研究人员将假 AWS 访问密钥上传到其中一个格式化平台，仅在不到两天的时间里，恶意行为者就试图滥用这些凭证。</p>
</div><p>“Mostly because someone is already exploiting it, and this is all really, really stupid,” Knott continued, “we don’t need more AI-driven agentic agent platforms; we need fewer critical organizations pasting credentials into random websites.”</p>
<div class="lb-trans"><p>“主要是因为有人已经在利用它，而这一切真的非常愚蠢，” Knott 继续说道，“我们不需要更多的 AI 驱动的代理平台；我们需要更少的关键组织将凭证粘贴到随机网站上。”</p>
</div><p>JSONFormatter and CodeBeautify temporarily disabled their save functionality in September, when the security flaw was brought to their attention. JSONFormatter it was “working on to make it better,” while CodeBeautify said it was implementing new “enhanced NSFW (Not Safe For Work) content prevention measures.”</p>
<div class="lb-trans"><p>JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷后，暂时禁用了其保存功能。JSONFormatter 表示它正在 “努力改进”，而 CodeBeautify 则表示正在实施新的 “增强的 NSFW（不适合工作）内容预防措施”。</p>
</div><h3>Security issue in HashiCorp’s Vault Terraform Provider</h3>
<div class="lb-trans"><h3>HashiCorp 的 Vault Terraform Provider 中的安全问题</h3>
</div><p>Away from the leaked credentials, the San Francisco-based IBM company HashiCorp found a vulnerability that could allow attackers to bypass authentication in its Vault Terraform Provider. The firm provides developers, businesses, and security organizations with cloud-computing infrastructure and protection services.</p>
<div class="lb-trans"><p>除了泄露的凭证外，总部位于旧金山的 IBM 公司 HashiCorp 发现了一个漏洞，该漏洞可能允许攻击者绕过其 Vault Terraform Provider 的身份验证。该公司为开发人员、企业和安全组织提供云计算基础设施和保护服务。</p>
</div><p>Per the software company’s findings shared on Tuesday, the Vault Terraform flaw affects versions v4.2.0 through v5.4.0 from an insecure default configuration in the LDAP authentication method.</p>
<div class="lb-trans"><p>根据该软件公司周二分享的发现，Vault Terraform 漏洞影响版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份验证方法中的不安全默认配置。</p>
</div><p>The issue arises because the “deny_null_bind” parameter is set to false instead of true when the provider configures Vault’s LDAP authentication backend. The parameter determines if the Vault rejects a wrong password or unauthenticated binds.</p>
<div class="lb-trans"><p>问题的根源在于，当提供程序配置 Vault 的 LDAP 身份验证后端时，“deny_null_bind” 参数被设置为 false 而不是 true。该参数决定 Vault 是否拒绝错误密码或未认证的绑定。</p>
</div><p>If the connected LDAP server allows anonymous binds, attackers can authenticate and access accounts without any valid credentials.</p>
<div class="lb-trans"><p>如果连接的 LDAP 服务器允许匿名绑定，攻击者可以在没有任何有效凭证的情况下进行身份验证并访问账户。</p>
</div><p>Don’t just read crypto news. Understand it. Subscribe to our newsletter. It's free.</p>
<div class="lb-trans"><p>不要仅仅阅读加密新闻。理解它。订阅我们的新闻通讯。它是免费的。</p>
</div>

超过 80,000 个敏感密码和密钥文件在网上泄露