<p>一位安全研究人员表示，家得宝在其一名员工在线发布私人访问令牌后，暴露了其内部系统的访问权限长达一年，这可能是一个错误。该研究人员发现了被曝光的令牌，并试图私下提醒家得宝其安全漏洞，但几周内未得到回应。</p>
<p>在 TechCrunch 上周联系公司代表后，该漏洞现已修复。</p>
<p>安全研究员本·齐默曼告诉 TechCrunch，在 11 月初，他发现了一名家得宝员工发布的 GitHub 访问令牌，该令牌在 2024 年初某个时候被曝光。</p>
<p>当他测试该令牌时，齐默曼表示，该令牌允许访问数百个托管在 GitHub 上的私人家得宝源代码库，并允许修改其内容。</p>
<p>研究人员表示，这些密钥允许访问家得宝的云基础设施，包括其订单履行和库存管理系统，以及代码开发管道等其他系统。根据 GitHub 网站上的客户资料，自 2015 年以来，家得宝已将其大部分开发和工程基础设施托管在 GitHub 上。</p>
<p>齐默曼表示，他向家得宝发送了几封电子邮件，但没有收到回复。</p>
<p>在通过 LinkedIn 发送消息后，他也没有收到家得宝首席信息安全官克里斯·兰齐洛塔的回复。</p>
<p>齐默曼告诉 TechCrunch，最近几个月他向多家公司披露了几起类似的安全漏洞，这些公司对他的发现表示感谢。</p>
<p>“家得宝是唯一一个忽视我的公司，” 他说。</p>
<p>鉴于家得宝没有报告安全缺陷的方式，例如漏洞披露或漏洞赏金计划，齐默曼联系了 TechCrunch，以期修复该漏洞。</p>
<p>在 12 月 5 日 TechCrunch 联系家得宝时，发言人乔治·莱恩确认收到了我们的电子邮件，但未对后续询问评论的电子邮件作出回应。被曝光的令牌现已不再在线，研究人员表示，该令牌的访问权限在我们联系后不久就被撤销。</p>
<p>我们还询问莱恩，家得宝是否具备技术手段，例如日志，以确定在该令牌在线的几个月内是否有其他人使用该令牌访问家得宝的任何内部系统。我们没有收到回复。</p>

家得宝

<p>家得宝由于一名员工错误发布的访问令牌，导致其内部系统暴露了一年。安全研究员 Ben Zimmermann 发现了该令牌，该令牌允许访问私有源代码库和云基础设施。尽管尝试通知家得宝，但该问题被忽视，直到 TechCrunch 介入。该令牌的访问权限已被撤销，但家得宝对这一安全漏洞的回应仍不明确</p>

<p>A security researcher said Home Depot exposed access to its internal systems for a year after one of its employees published a private access token online, likely by mistake. The researcher found the exposed token and tried to privately alert Home Depot to its security lapse, but was ignored for several weeks.</p>
<div class="lb-trans"><p>一位安全研究人员表示，家得宝在其一名员工在线发布私人访问令牌后，暴露了其内部系统的访问权限长达一年，这可能是一个错误。该研究人员发现了被曝光的令牌，并试图私下提醒家得宝其安全漏洞，但几周内未得到回应。</p>
</div><p>The exposure is now fixed after TechCrunch contacted company representatives last week.</p>
<div class="lb-trans"><p>在 TechCrunch 上周联系公司代表后，该漏洞现已修复。</p>
</div><p>Security researcher Ben Zimmermann told TechCrunch that, in early November, he found a published GitHub access token belonging to a Home Depot employee, which was exposed sometime in early 2024.</p>
<div class="lb-trans"><p>安全研究员本·齐默曼告诉 TechCrunch，在 11 月初，他发现了一名家得宝员工发布的 GitHub 访问令牌，该令牌在 2024 年初某个时候被曝光。</p>
</div><p>When he tested the token, Zimmermann said that it granted access to hundreds of private Home Depot source code repositories hosted on GitHub and allowed the ability to modify their contents.</p>
<div class="lb-trans"><p>当他测试该令牌时，齐默曼表示，该令牌允许访问数百个托管在 GitHub 上的私人家得宝源代码库，并允许修改其内容。</p>
</div><p>The researcher said the keys allowed access to Home Depot’s cloud infrastructure, including its order fulfillment and inventory management systems, and code development pipelines, among other systems. Home Depot has hosted much of its developer and engineering infrastructure on GitHub since 2015, according to a customer profile on GitHub’s website.</p>
<div class="lb-trans"><p>研究人员表示，这些密钥允许访问家得宝的云基础设施，包括其订单履行和库存管理系统，以及代码开发管道等其他系统。根据 GitHub 网站上的客户资料，自 2015 年以来，家得宝已将其大部分开发和工程基础设施托管在 GitHub 上。</p>
</div><p>Zimmermann said he sent several emails to Home Depot but didn’t hear back.</p>
<div class="lb-trans"><p>齐默曼表示，他向家得宝发送了几封电子邮件，但没有收到回复。</p>
</div><p>Nor did he get a response from Home Depot’s chief information security officer, Chris Lanzilotta, after sending a message over LinkedIn.</p>
<div class="lb-trans"><p>在通过 LinkedIn 发送消息后，他也没有收到家得宝首席信息安全官克里斯·兰齐洛塔的回复。</p>
</div><p>Zimmermann told TechCrunch that he has disclosed several similar exposures in recent months to companies, which have thanked him for his findings.</p>
<div class="lb-trans"><p>齐默曼告诉 TechCrunch，最近几个月他向多家公司披露了几起类似的安全漏洞，这些公司对他的发现表示感谢。</p>
</div><p>“Home Depot is the only company that ignored me,” he said.</p>
<div class="lb-trans"><p>“家得宝是唯一一个忽视我的公司，” 他说。</p>
</div><p>Given that Home Depot does not have a way to report security flaws, such as a vulnerability disclosure or bug bounty program, Zimmermann contacted TechCrunch in an effort to get the exposure fixed.</p>
<div class="lb-trans"><p>鉴于家得宝没有报告安全缺陷的方式，例如漏洞披露或漏洞赏金计划，齐默曼联系了 TechCrunch，以期修复该漏洞。</p>
</div><p>When reached by TechCrunch on December 5, Home Depot spokesperson George Lane acknowledged receipt of our email but did not respond to follow-up emails asking for comment. The exposed token is no longer online, and the researcher said the token’s access was revoked soon after our outreach.</p>
<div class="lb-trans"><p>在 12 月 5 日 TechCrunch 联系家得宝时，发言人乔治·莱恩确认收到了我们的电子邮件，但未对后续询问评论的电子邮件作出回应。被曝光的令牌现已不再在线，研究人员表示，该令牌的访问权限在我们联系后不久就被撤销。</p>
</div><p>We also asked Lane if Home Depot has the technical means, such as logs, to determine if anyone else used the token during the months it was left online to access any of Home Depot’s internal systems. We did not hear back.</p>
<div class="lb-trans"><p>我们还询问莱恩，家得宝是否具备技术手段，例如日志，以确定在该令牌在线的几个月内是否有其他人使用该令牌访问家得宝的任何内部系统。我们没有收到回复。</p>
</div>

研究人员表示，家得宝的内部系统访问权限暴露了长达一年