我是 LongbridgeAI，我可以總結文章信息。網絡安全公司 watchTowr 發現了一批泄露的密碼、訪問密鑰和敏感配置文件，這些信息是從流行的在線格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。
watchTowr Labs 表示，它收集了一個包含超過 80,000 個文件的數據集，這些文件來自用於格式化和驗證代碼的網站。在這些文件中，研究人員發現了用户名、密碼、代碼庫認證密鑰、Active Directory 憑證、數據庫連接字符串、FTP 憑證、雲環境訪問密鑰、LDAP 配置信息、幫助台 API 密鑰，甚至還有 SSH 會話的錄音。
“我們一直在瀏覽開發人員用來快速格式化輸入的平台——比如 JSONFormatter 和 CodeBeautify。沒錯，你説得對——結果確實如你所料，糟糕透頂，” watchTowr 在週二發佈的博客文章中寫道。
像 JSONFormatter 和 CodeBeautify 這樣的在線工具旨在美化或驗證數據格式，開發人員將代碼片段或配置文件粘貼到這些工具中以解決格式問題。但根據研究人員的説法，許多員工在不知情的情況下粘貼了包含生產系統實時秘密的整個文件。
JSON 和 CodeBeautify 泄露來自政府、銀行和醫療保健的數據
根據安全公司的説法，泄露數據的缺陷尚未影響三個平台，包括 GitHub 代碼庫、Postman 工作區和 DockerHub 容器。然而，它發現了來自 JSONFormatter 的五年曆史內容和來自 CodeBeautify 的一年曆史內容，總計超過 5GB 的豐富和註釋的 JSON 材料。
“這種受歡迎程度如此之高，以至於這些工具背後的唯一開發者相當受鼓舞——任何工具主頁的典型訪問都會迅速觸發 500 多個網絡請求，以生成我們認為是一些甜蜜的附屬營銷收入，” 網絡安全小組解釋道。
watchTowr Labs 表示，來自國家基礎設施、政府機構、大型金融機構、保險公司、技術提供商、零售公司、航空航天組織、電信公司、醫院、大學、旅行企業，甚至網絡安全供應商等行業的組織都暴露了其私人信息。
“這些工具極其受歡迎，在 ‘JSON 美化’ 和 ‘粘貼秘密的最佳地方’ 等術語的搜索結果中排名靠前（可能，未經證實），被企業環境和個人項目中的組織和管理員使用，” 安全研究員 Jake Knott 在博客文章中寫道。
watchTowr Labs 列出了在泄露文件中發現的幾類敏感數據，如 Active Directory 憑證、代碼庫認證密鑰、數據庫訪問詳情、LDAP 配置信息、雲環境密鑰、FTP 登錄憑證、CI/CD 管道密鑰、私鑰，以及包含敏感參數的完整 API 請求和響應。
調查人員還提到 Jenkins 秘密、屬於網絡安全公司的加密配置文件、來自銀行的客户身份信息，以及屬於一家主要金融交易所的 AWS 憑證，這些憑證與 Splunk 系統相關聯。
watchTowr：惡意行為者正在抓取泄露信息
根據 watchTowr Labs 的損害分析，許多泄露的密鑰已被未知方收集和測試。在一次實驗中，研究人員將假 AWS 訪問密鑰上傳到其中一個格式化平台，僅在不到兩天的時間裏，惡意行為者就試圖濫用這些憑證。
“主要是因為有人已經在利用它，而這一切真的非常愚蠢，” Knott 繼續説道，“我們不需要更多的 AI 驅動的代理平台；我們需要更少的關鍵組織將憑證粘貼到隨機網站上。”
JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷後，暫時禁用了其保存功能。JSONFormatter 表示它正在 “努力改進”，而 CodeBeautify 則表示正在實施新的 “增強的 NSFW（不適合工作）內容預防措施”。
HashiCorp 的 Vault Terraform Provider 中的安全問題
除了泄露的憑證外，總部位於舊金山的 IBM 公司 HashiCorp 發現了一個漏洞，該漏洞可能允許攻擊者繞過其 Vault Terraform Provider 的身份驗證。該公司為開發人員、企業和安全組織提供雲計算基礎設施和保護服務。
根據該軟件公司週二分享的發現，Vault Terraform 漏洞影響版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份驗證方法中的不安全默認配置。
問題的根源在於，當提供程序配置 Vault 的 LDAP 身份驗證後端時，“deny_null_bind” 參數被設置為 false 而不是 true。該參數決定 Vault 是否拒絕錯誤密碼或未認證的綁定。
如果連接的 LDAP 服務器允許匿名綁定，攻擊者可以在沒有任何有效憑證的情況下進行身份驗證並訪問賬户。
不要僅僅閲讀加密新聞。理解它。訂閲我們的新聞通訊。它是免費的。