<p><strong>網絡安全公司 watchTowr 發現了一批泄露的密碼、訪問密鑰和敏感配置文件，這些信息是從流行的在線格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。</strong></p>
<p>watchTowr Labs 表示，它收集了一個包含超過 80,000 個文件的數據集，這些文件來自用於格式化和驗證代碼的網站。在這些文件中，研究人員發現了用户名、密碼、代碼庫認證密鑰、Active Directory 憑證、數據庫連接字符串、FTP 憑證、雲環境訪問密鑰、LDAP 配置信息、幫助台 API 密鑰，甚至還有 SSH 會話的錄音。</p>
<p>“我們一直在瀏覽開發人員用來快速格式化輸入的平台——比如 JSONFormatter 和 CodeBeautify。沒錯，你説得對——結果確實如你所料，糟糕透頂，” watchTowr 在週二發佈的博客文章中寫道。</p>
<p>像 JSONFormatter 和 CodeBeautify 這樣的在線工具旨在美化或驗證數據格式，開發人員將代碼片段或配置文件粘貼到這些工具中以解決格式問題。但根據研究人員的説法，許多員工在不知情的情況下粘貼了包含生產系統實時秘密的整個文件。</p>
<h3>JSON 和 CodeBeautify 泄露來自政府、銀行和醫療保健的數據</h3>
<p>根據安全公司的説法，泄露數據的缺陷尚未影響三個平台，包括 GitHub 代碼庫、Postman 工作區和 DockerHub 容器。然而，它發現了來自 JSONFormatter 的五年曆史內容和來自 CodeBeautify 的一年曆史內容，總計超過 5GB 的豐富和註釋的 JSON 材料。</p>
<p>“這種受歡迎程度如此之高，以至於這些工具背後的唯一開發者相當受鼓舞——任何工具主頁的典型訪問都會迅速觸發 500 多個網絡請求，以生成我們認為是一些甜蜜的附屬營銷收入，” 網絡安全小組解釋道。</p>
<p>watchTowr Labs 表示，來自國家基礎設施、政府機構、大型金融機構、保險公司、技術提供商、零售公司、航空航天組織、電信公司、醫院、大學、旅行企業，甚至網絡安全供應商等行業的組織都暴露了其私人信息。</p>
<p>“這些工具極其受歡迎，在 ‘JSON 美化’ 和 ‘粘貼秘密的最佳地方’ 等術語的搜索結果中排名靠前（可能，未經證實），被企業環境和個人項目中的組織和管理員使用，” 安全研究員 Jake Knott 在博客文章中寫道。</p>
<p>watchTowr Labs 列出了在泄露文件中發現的幾類敏感數據，如 Active Directory 憑證、代碼庫認證密鑰、數據庫訪問詳情、LDAP 配置信息、雲環境密鑰、FTP 登錄憑證、CI/CD 管道密鑰、私鑰，以及包含敏感參數的完整 API 請求和響應。</p>
<p>調查人員還提到 Jenkins 秘密、屬於網絡安全公司的加密配置文件、來自銀行的客户身份信息，以及屬於一家主要金融交易所的 AWS 憑證，這些憑證與 Splunk 系統相關聯。</p>
<h3>watchTowr：惡意行為者正在抓取泄露信息</h3>
<p>根據 watchTowr Labs 的損害分析，許多泄露的密鑰已被未知方收集和測試。在一次實驗中，研究人員將假 AWS 訪問密鑰上傳到其中一個格式化平台，僅在不到兩天的時間裏，惡意行為者就試圖濫用這些憑證。</p>
<p>“主要是因為有人已經在利用它，而這一切真的非常愚蠢，” Knott 繼續説道，“我們不需要更多的 AI 驅動的代理平台；我們需要更少的關鍵組織將憑證粘貼到隨機網站上。”</p>
<p>JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷後，暫時禁用了其保存功能。JSONFormatter 表示它正在 “努力改進”，而 CodeBeautify 則表示正在實施新的 “增強的 NSFW（不適合工作）內容預防措施”。</p>
<h3>HashiCorp 的 Vault Terraform Provider 中的安全問題</h3>
<p>除了泄露的憑證外，總部位於舊金山的 IBM 公司 HashiCorp 發現了一個漏洞，該漏洞可能允許攻擊者繞過其 Vault Terraform Provider 的身份驗證。該公司為開發人員、企業和安全組織提供雲計算基礎設施和保護服務。</p>
<p>根據該軟件公司週二分享的發現，Vault Terraform 漏洞影響版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份驗證方法中的不安全默認配置。</p>
<p>問題的根源在於，當提供程序配置 Vault 的 LDAP 身份驗證後端時，“deny_null_bind” 參數被設置為 false 而不是 true。該參數決定 Vault 是否拒絕錯誤密碼或未認證的綁定。</p>
<p>如果連接的 LDAP 服務器允許匿名綁定，攻擊者可以在沒有任何有效憑證的情況下進行身份驗證並訪問賬户。</p>
<p>不要僅僅閲讀加密新聞。理解它。訂閲我們的新聞通訊。它是免費的。</p>

<p>網絡安全公司 watchTowr 發現了來自在線代碼格式化工具如 JSONFormatter 和 CodeBeautify 的超過 80,000 個泄露的密碼和敏感文件。這些泄露包括來自各個行業的憑證，使其面臨潛在惡意行為者的威脅。JSONFormatter 和 CodeBeautify 暫時禁用了保存功能以解決此問題。此外，HashiCorp 發現其 Vault Terraform Provider 中存在一個影響 LDAP 認證的漏洞，允許未經授權的訪問</p>

<p><strong>Cybersecurity firm watchTowr has uncovered a trove of leaked passwords, access keys, and sensitive configuration files that were unintentionally exposed from popular online formatting tools, JSON formatter, and CodeBeautify.</strong></p>
<div class="lb-trans"><p><strong>網絡安全公司 watchTowr 發現了一批泄露的密碼、訪問密鑰和敏感配置文件，這些信息是從流行的在線格式化工具 JSON formatter 和 CodeBeautify 中意外暴露的。</strong></p>
</div><p>watchTowr Labs said it collected a dataset containing more than 80,000 files from sites used to format and validate code. Within those files, researchers found usernames, passwords, repository authentication keys, Active Directory credentials, database connection strings, FTP credentials, cloud environment access keys, LDAP configuration details, helpdesk API keys, and even recordings of SSH sessions.</p>
<div class="lb-trans"><p>watchTowr Labs 表示，它收集了一個包含超過 80,000 個文件的數據集，這些文件來自用於格式化和驗證代碼的網站。在這些文件中，研究人員發現了用户名、密碼、代碼庫認證密鑰、Active Directory 憑證、數據庫連接字符串、FTP 憑證、雲環境訪問密鑰、LDAP 配置信息、幫助台 API 密鑰，甚至還有 SSH 會話的錄音。</p>
</div><p>“We’ve been rifling through platforms that developers use to quickly format their input – like JSONFormatter and CodeBeautify. And yes, you are correct – it went exactly as badly as you might expect,” watchTowr’s blog post published on Tuesday.</p>
<div class="lb-trans"><p>“我們一直在瀏覽開發人員用來快速格式化輸入的平台——比如 JSONFormatter 和 CodeBeautify。沒錯，你説得對——結果確實如你所料，糟糕透頂，” watchTowr 在週二發佈的博客文章中寫道。</p>
</div><p>Online utilities such as JSONFormatter and CodeBeautify are meant to beautify or validate data formats, where devs paste snippets of code or configuration files into them to troubleshoot formatting issues. But according to researchers, many employees are unknowingly pasting entire files that contain live secrets from production systems.</p>
<div class="lb-trans"><p>像 JSONFormatter 和 CodeBeautify 這樣的在線工具旨在美化或驗證數據格式，開發人員將代碼片段或配置文件粘貼到這些工具中以解決格式問題。但根據研究人員的説法，許多員工在不知情的情況下粘貼了包含生產系統實時秘密的整個文件。</p>
</div><h3>JSON and CodeBeautify leak data from government, banks, and healthcare</h3>
<div class="lb-trans"><h3>JSON 和 CodeBeautify 泄露來自政府、銀行和醫療保健的數據</h3>
</div><p>According to the security firm, the leaked data flaw has yet to affect three platforms, including GitHub repositories, Postman workspaces, and DockerHub containers. However, it found five years of historical content from JSONFormatter and one year of historical content from CodeBeautify, totaling more than 5 gigabytes of enriched and annotated JSON material.</p>
<div class="lb-trans"><p>根據安全公司的説法，泄露數據的缺陷尚未影響三個平台，包括 GitHub 代碼庫、Postman 工作區和 DockerHub 容器。然而，它發現了來自 JSONFormatter 的五年曆史內容和來自 CodeBeautify 的一年曆史內容，總計超過 5GB 的豐富和註釋的 JSON 材料。</p>
</div><p>“The popularity is so great that the sole developer behind these tools is fairly inspired – with a typical visit to any tool homepage triggering 500+ web requests pretty quickly to generate what we assume is some sweet, sweet affiliate marketing revenue,” the cybersecurity group explained.</p>
<div class="lb-trans"><p>“這種受歡迎程度如此之高，以至於這些工具背後的唯一開發者相當受鼓舞——任何工具主頁的典型訪問都會迅速觸發 500 多個網絡請求，以生成我們認為是一些甜蜜的附屬營銷收入，” 網絡安全小組解釋道。</p>
</div><p>watchTowr Labs said organizations from industries like national infrastructure, government agencies, major financial institutions, insurance companies, technology providers, retail firms, aerospace organizations, telecoms, hospitals, universities, travel businesses, and even cybersecurity vendors have all had their private information exposed.</p>
<div class="lb-trans"><p>watchTowr Labs 表示，來自國家基礎設施、政府機構、大型金融機構、保險公司、技術提供商、零售公司、航空航天組織、電信公司、醫院、大學、旅行企業，甚至網絡安全供應商等行業的組織都暴露了其私人信息。</p>
</div><p>“These tools are extremely popular, appearing near the top of search results for terms like ‘JSON beautify’ and ‘best place to paste secrets’ (probably, unproven), used by organizations and administrators in both enterprise environments and for personal projects,” Security researcher Jake Knott wrote in the blog post.</p>
<div class="lb-trans"><p>“這些工具極其受歡迎，在 ‘JSON 美化’ 和 ‘粘貼秘密的最佳地方’ 等術語的搜索結果中排名靠前（可能，未經證實），被企業環境和個人項目中的組織和管理員使用，” 安全研究員 Jake Knott 在博客文章中寫道。</p>
</div><p>watchTowr Labs listed several categories of sensitive data found within the exposed files like Active Directory credentials, code repository authentication keys, database access details, LDAP configuration information, cloud environment keys, FTP login credentials, CI/CD pipeline keys, private keys, and full API requests and responses with sensitive parameters.</p>
<div class="lb-trans"><p>watchTowr Labs 列出了在泄露文件中發現的幾類敏感數據，如 Active Directory 憑證、代碼庫認證密鑰、數據庫訪問詳情、LDAP 配置信息、雲環境密鑰、FTP 登錄憑證、CI/CD 管道密鑰、私鑰，以及包含敏感參數的完整 API 請求和響應。</p>
</div><p>Investigators also mentioned Jenkins secrets, encrypted configuration files belonging to a cybersecurity firm, Know Your Customer information from banks, and AWS credentials belonging to a major financial exchange that were connected to Splunk systems.</p>
<div class="lb-trans"><p>調查人員還提到 Jenkins 秘密、屬於網絡安全公司的加密配置文件、來自銀行的客户身份信息，以及屬於一家主要金融交易所的 AWS 憑證，這些憑證與 Splunk 系統相關聯。</p>
</div><h3>watchTowr: Malicious actors are scraping the leaks</h3>
<div class="lb-trans"><h3>watchTowr：惡意行為者正在抓取泄露信息</h3>
</div><p>According to watchTowr Labs’ damage analysis, many of the leaked keys have been collected and tested by unknown parties. In an experiment, researchers uploaded fake AWS access keys to one of the formatting platforms, and in just under two days, malicious actors attempted to abuse the credentials.</p>
<div class="lb-trans"><p>根據 watchTowr Labs 的損害分析，許多泄露的密鑰已被未知方收集和測試。在一次實驗中，研究人員將假 AWS 訪問密鑰上傳到其中一個格式化平台，僅在不到兩天的時間裏，惡意行為者就試圖濫用這些憑證。</p>
</div><p>“Mostly because someone is already exploiting it, and this is all really, really stupid,” Knott continued, “we don’t need more AI-driven agentic agent platforms; we need fewer critical organizations pasting credentials into random websites.”</p>
<div class="lb-trans"><p>“主要是因為有人已經在利用它，而這一切真的非常愚蠢，” Knott 繼續説道，“我們不需要更多的 AI 驅動的代理平台；我們需要更少的關鍵組織將憑證粘貼到隨機網站上。”</p>
</div><p>JSONFormatter and CodeBeautify temporarily disabled their save functionality in September, when the security flaw was brought to their attention. JSONFormatter it was “working on to make it better,” while CodeBeautify said it was implementing new “enhanced NSFW (Not Safe For Work) content prevention measures.”</p>
<div class="lb-trans"><p>JSONFormatter 和 CodeBeautify 在九月份被告知安全缺陷後，暫時禁用了其保存功能。JSONFormatter 表示它正在 “努力改進”，而 CodeBeautify 則表示正在實施新的 “增強的 NSFW（不適合工作）內容預防措施”。</p>
</div><h3>Security issue in HashiCorp’s Vault Terraform Provider</h3>
<div class="lb-trans"><h3>HashiCorp 的 Vault Terraform Provider 中的安全問題</h3>
</div><p>Away from the leaked credentials, the San Francisco-based IBM company HashiCorp found a vulnerability that could allow attackers to bypass authentication in its Vault Terraform Provider. The firm provides developers, businesses, and security organizations with cloud-computing infrastructure and protection services.</p>
<div class="lb-trans"><p>除了泄露的憑證外，總部位於舊金山的 IBM 公司 HashiCorp 發現了一個漏洞，該漏洞可能允許攻擊者繞過其 Vault Terraform Provider 的身份驗證。該公司為開發人員、企業和安全組織提供雲計算基礎設施和保護服務。</p>
</div><p>Per the software company’s findings shared on Tuesday, the Vault Terraform flaw affects versions v4.2.0 through v5.4.0 from an insecure default configuration in the LDAP authentication method.</p>
<div class="lb-trans"><p>根據該軟件公司週二分享的發現，Vault Terraform 漏洞影響版本 v4.2.0 到 v5.4.0，原因是 LDAP 身份驗證方法中的不安全默認配置。</p>
</div><p>The issue arises because the “deny_null_bind” parameter is set to false instead of true when the provider configures Vault’s LDAP authentication backend. The parameter determines if the Vault rejects a wrong password or unauthenticated binds.</p>
<div class="lb-trans"><p>問題的根源在於，當提供程序配置 Vault 的 LDAP 身份驗證後端時，“deny_null_bind” 參數被設置為 false 而不是 true。該參數決定 Vault 是否拒絕錯誤密碼或未認證的綁定。</p>
</div><p>If the connected LDAP server allows anonymous binds, attackers can authenticate and access accounts without any valid credentials.</p>
<div class="lb-trans"><p>如果連接的 LDAP 服務器允許匿名綁定，攻擊者可以在沒有任何有效憑證的情況下進行身份驗證並訪問賬户。</p>
</div><p>Don’t just read crypto news. Understand it. Subscribe to our newsletter. It's free.</p>
<div class="lb-trans"><p>不要僅僅閲讀加密新聞。理解它。訂閲我們的新聞通訊。它是免費的。</p>
</div>

超過 80,000 個敏感密碼和密鑰文件在網上泄露