梅赛德斯奔流开拓者失慎激进私钥 导致全部公司源代码以及其余密钥全副激进 – 蓝点网

收集清静公司 RedHunt Labs 日前在例行互联网扫描中发现驰名公司梅赛德斯奔消散慎激进员工的梅赛身份验证令牌，这导致该公司在 GitHub 企业版上托管的德斯代码点网所有源代码、存储库全副吐露在公网上。奔流部

凭证合成梅赛德斯奔流的开拓 GitHub Enterprise Server 上搜罗大批怪异内容：

• 全部源代码
• 知识产权内容
• 用来衔接其余效率的字符串
• AWS/Azure 衔接密钥
• 妄想蓝图
• 妄想文档
• SSO 明码
• API 密钥
• 其余关键信息

其中 AWS 以及 Microsoft Azure 衔接密钥则可能用来登录梅赛德斯奔流在 AWS 以及微软托管的效率器，这又可能导致更多私密数据吐露。失致全

开拓者失慎在 GitHub 上吐露了令牌：

GitHub 应承开拓者天生身份验证令牌作为替换明码的慎激司源验证妄想，梅赛德斯奔流的进私及其进蓝员工失慎在一个公共 GitHub 中吐露了自己的令牌，这象征着任何人拿到这个令牌后都可能直接碰头梅赛德斯奔流的钥导余密钥全 GitHub Enterprise Server 并下载所有数据。

RedHunt Labs 基于清静验证目的副激浏览了部份数据，发现概况还搜罗 AWS 以及 Azure 密钥、梅赛Postgres 数据库以及梅赛德斯的德斯代码点网其余源代码等。

随后该清静公司经由 TechCrunch 分割梅赛德斯奔流妨碍反映，奔流部接到反映后梅赛德斯奔流赶快确认了下场并作废了令牌，开拓同时把吐露令牌的失致全全部存储库都删了。

是慎激司源否激进数据当初还不清晰：

扫描展现梅赛德斯奔流员工是在 2023 年 9 月下旬失慎吐露自己的身份验证令牌，也便是说到作废的时候已经有多少个月，这多少个月难免会有其余黑客扫描到令牌进而窃取了所有数据。

遗憾的是梅赛德斯奔流谢绝泄露是否知道任何第三方碰头了吐露的数据，概况说没人知道该公司有无能耐魔难数据受到颇为碰头，这可能需要残缺的排查以前多少个月的日志。