<p>一位安全研究人員表示，家得寶在其一名員工在線發佈私人訪問令牌後，暴露了其內部系統的訪問權限長達一年，這可能是一個錯誤。該研究人員發現了被曝光的令牌，並試圖私下提醒家得寶其安全漏洞，但幾周內未得到回應。</p>
<p>在 TechCrunch 上週聯繫公司代表後，該漏洞現已修復。</p>
<p>安全研究員本·齊默曼告訴 TechCrunch，在 11 月初，他發現了一名家得寶員工發佈的 GitHub 訪問令牌，該令牌在 2024 年初某個時候被曝光。</p>
<p>當他測試該令牌時，齊默曼表示，該令牌允許訪問數百個託管在 GitHub 上的私人家得寶源代碼庫，並允許修改其內容。</p>
<p>研究人員表示，這些密鑰允許訪問家得寶的雲基礎設施，包括其訂單履行和庫存管理系統，以及代碼開發管道等其他系統。根據 GitHub 網站上的客户資料，自 2015 年以來，家得寶已將其大部分開發和工程基礎設施託管在 GitHub 上。</p>
<p>齊默曼表示，他向家得寶發送了幾封電子郵件，但沒有收到回覆。</p>
<p>在通過 LinkedIn 發送消息後，他也沒有收到家得寶首席信息安全官克里斯·蘭齊洛塔的回覆。</p>
<p>齊默曼告訴 TechCrunch，最近幾個月他向多家公司披露了幾起類似的安全漏洞，這些公司對他的發現表示感謝。</p>
<p>“家得寶是唯一一個忽視我的公司，” 他説。</p>
<p>鑑於家得寶沒有報告安全缺陷的方式，例如漏洞披露或漏洞賞金計劃，齊默曼聯繫了 TechCrunch，以期修復該漏洞。</p>
<p>在 12 月 5 日 TechCrunch 聯繫家得寶時，發言人喬治·萊恩確認收到了我們的電子郵件，但未對後續詢問評論的電子郵件作出回應。被曝光的令牌現已不再在線，研究人員表示，該令牌的訪問權限在我們聯繫後不久就被撤銷。</p>
<p>我們還詢問萊恩，家得寶是否具備技術手段，例如日誌，以確定在該令牌在線的幾個月內是否有其他人使用該令牌訪問家得寶的任何內部系統。我們沒有收到回覆。</p>

家得寶

<p>家得寶由於一名員工錯誤發佈的訪問令牌，導致其內部系統暴露了一年。安全研究員 Ben Zimmermann 發現了該令牌，該令牌允許訪問私有源代碼庫和雲基礎設施。儘管嘗試通知家得寶，但該問題被忽視，直到 TechCrunch 介入。該令牌的訪問權限已被撤銷，但家得寶對這一安全漏洞的回應仍不明確</p>

<p>A security researcher said Home Depot exposed access to its internal systems for a year after one of its employees published a private access token online, likely by mistake. The researcher found the exposed token and tried to privately alert Home Depot to its security lapse, but was ignored for several weeks.</p>
<div class="lb-trans"><p>一位安全研究人員表示，家得寶在其一名員工在線發佈私人訪問令牌後，暴露了其內部系統的訪問權限長達一年，這可能是一個錯誤。該研究人員發現了被曝光的令牌，並試圖私下提醒家得寶其安全漏洞，但幾周內未得到回應。</p>
</div><p>The exposure is now fixed after TechCrunch contacted company representatives last week.</p>
<div class="lb-trans"><p>在 TechCrunch 上週聯繫公司代表後，該漏洞現已修復。</p>
</div><p>Security researcher Ben Zimmermann told TechCrunch that, in early November, he found a published GitHub access token belonging to a Home Depot employee, which was exposed sometime in early 2024.</p>
<div class="lb-trans"><p>安全研究員本·齊默曼告訴 TechCrunch，在 11 月初，他發現了一名家得寶員工發佈的 GitHub 訪問令牌，該令牌在 2024 年初某個時候被曝光。</p>
</div><p>When he tested the token, Zimmermann said that it granted access to hundreds of private Home Depot source code repositories hosted on GitHub and allowed the ability to modify their contents.</p>
<div class="lb-trans"><p>當他測試該令牌時，齊默曼表示，該令牌允許訪問數百個託管在 GitHub 上的私人家得寶源代碼庫，並允許修改其內容。</p>
</div><p>The researcher said the keys allowed access to Home Depot’s cloud infrastructure, including its order fulfillment and inventory management systems, and code development pipelines, among other systems. Home Depot has hosted much of its developer and engineering infrastructure on GitHub since 2015, according to a customer profile on GitHub’s website.</p>
<div class="lb-trans"><p>研究人員表示，這些密鑰允許訪問家得寶的雲基礎設施，包括其訂單履行和庫存管理系統，以及代碼開發管道等其他系統。根據 GitHub 網站上的客户資料，自 2015 年以來，家得寶已將其大部分開發和工程基礎設施託管在 GitHub 上。</p>
</div><p>Zimmermann said he sent several emails to Home Depot but didn’t hear back.</p>
<div class="lb-trans"><p>齊默曼表示，他向家得寶發送了幾封電子郵件，但沒有收到回覆。</p>
</div><p>Nor did he get a response from Home Depot’s chief information security officer, Chris Lanzilotta, after sending a message over LinkedIn.</p>
<div class="lb-trans"><p>在通過 LinkedIn 發送消息後，他也沒有收到家得寶首席信息安全官克里斯·蘭齊洛塔的回覆。</p>
</div><p>Zimmermann told TechCrunch that he has disclosed several similar exposures in recent months to companies, which have thanked him for his findings.</p>
<div class="lb-trans"><p>齊默曼告訴 TechCrunch，最近幾個月他向多家公司披露了幾起類似的安全漏洞，這些公司對他的發現表示感謝。</p>
</div><p>“Home Depot is the only company that ignored me,” he said.</p>
<div class="lb-trans"><p>“家得寶是唯一一個忽視我的公司，” 他説。</p>
</div><p>Given that Home Depot does not have a way to report security flaws, such as a vulnerability disclosure or bug bounty program, Zimmermann contacted TechCrunch in an effort to get the exposure fixed.</p>
<div class="lb-trans"><p>鑑於家得寶沒有報告安全缺陷的方式，例如漏洞披露或漏洞賞金計劃，齊默曼聯繫了 TechCrunch，以期修復該漏洞。</p>
</div><p>When reached by TechCrunch on December 5, Home Depot spokesperson George Lane acknowledged receipt of our email but did not respond to follow-up emails asking for comment. The exposed token is no longer online, and the researcher said the token’s access was revoked soon after our outreach.</p>
<div class="lb-trans"><p>在 12 月 5 日 TechCrunch 聯繫家得寶時，發言人喬治·萊恩確認收到了我們的電子郵件，但未對後續詢問評論的電子郵件作出回應。被曝光的令牌現已不再在線，研究人員表示，該令牌的訪問權限在我們聯繫後不久就被撤銷。</p>
</div><p>We also asked Lane if Home Depot has the technical means, such as logs, to determine if anyone else used the token during the months it was left online to access any of Home Depot’s internal systems. We did not hear back.</p>
<div class="lb-trans"><p>我們還詢問萊恩，家得寶是否具備技術手段，例如日誌，以確定在該令牌在線的幾個月內是否有其他人使用該令牌訪問家得寶的任何內部系統。我們沒有收到回覆。</p>
</div>

研究人員表示，家得寶的內部系統訪問權限暴露了長達一年