包含敏感数据数千个 Firefox cookie 出现在 GitHub 存储库中
包含敏感数据的数千个 Firefox cookie 数据库目前出现在 GitHub 的存储库中，这些数据可能用于劫持经过身份验证的会话。这些 cookies.sqlite 数据库通常位于 Firefox 配置文件文件夹中。它们用于在浏览会话之间存储 cookie。现在可以通过使用特定查询参数搜索 GitHub 来找到它们，这就是所谓的搜索“dork”。
总部位于伦敦的铁路旅行服务公司 Trainline 的安全工程师 Aidan Marlin 在通过 HackerOne 报告了他的发现，并被 GitHub 代表告知“我们用户暴露的凭据不在范围内后，提醒 The Register 这些文件的公开可用性。我们的漏洞赏金计划”。Marlin 然后问他是否可以公开他的发现，并被告知他可以自由这样做。
在发送给 The Register 的电子邮件中，Marlin 表示：“我很沮丧 GitHub 没有认真对待用户的安全和隐私。它至少可以防止这个 GitHub dork
的结果出现。如果上传这些 cookie 数据库的人知道他们做了什么，他们会尿裤子”。
Marlin 承认，受影响的 GitHub 用户在提交代码并将其推送到公共存储库时未能阻止他们的 cookies.sqlite 数据库被包含在内，因此应该受到一些指责。 “但是这个 dork 的点击量接近 4500 次，所以我认为 GitHub 也有注意的义务”。他说，并补充说他已经通知了英国信息专员办公室，因为个人信息处于危险之中。
Marlin 推测这种疏忽是从一个人的 Linux 主目录提交代码的结果。他解释说：“我想在大多数情况下，个人不知道他们已经上传了他们的 cookie 数据库，用户这样做的一个常见原因是跨多台机器的公共环境”。
Marlin 说，GitHub dorks 并不新鲜，但它们通常只影响单一服务，例如 AWS。这种特殊的失误令人不安，因为它可能允许攻击者访问任何面向互联网的网站，在提交 cookie 文件时，GitHub 用户已通过该网站进行身份验证。他补充说，可能也可以找到其他浏览器的傻瓜。
（消息及封面来源：cnBeta）
“包含敏感数据数千个 Firefox cookie 出现在 GitHub 存储库中” 的相关文章
Google 发布第 3 个紧急更新 修复 Chrome 中另一个零日漏洞
Google 今天发布了第 3 个紧急更新，修复了存在于 Chrome 浏览器中的另一个零日漏洞。周四，Google 面向 macOS、Windows 和 Linux 发布了 Chrome 100.0.4898.127 更新，会在未来几天内完成部署。 本次更新修复了追踪为 CVE-2022-1364...
红十字国际委员会称“国家支持的”黑客利用未修复的漏洞发起攻击
据TechCrunch报道，红十字国际委员会（ICRC）最近遭到网络攻击，超过51.5万名“高危人群”的数据被泄露，这很可能是国家支持的黑客所为。在周三发布的更新中，红十字国际委员会证实，最初的入侵可以追溯到2021年11月9日，即在1月18日攻击被披露之前的两个月，并补充说，其分析表明，入侵是对其...
GitHub 透露：攻击者利用偷来的 OAuth 令牌入侵了几十个组织
GitHub今天透露，一名攻击者正在使用偷来的OAuth用户令牌（原本发放给Heroku和Travis-CI），从私人仓库下载数据。自2022年4月12日首次发现这一活动以来，威胁者已经从几十个使用Heroku和Travis-CI维护的OAuth应用程序（包括npm）的受害组织中访问并窃取数据。...
泄露的 Facebook 工程师文件承认违法使用用户数据 或将面临全球收入 4% 的罚款
Facebook正面临一场世界各地隐私法规“海啸”，这将迫使该公司大幅改变处理用户个人数据的方式。根据外媒获得的一份从Facebook泄露的文件，Facebook这场“劫难”的根源在于，他们自己都搞不清楚用户数据的用途和去向。 这份泄露的文件是由Facebook广告和商业产品团队的隐私工程师去...
乌克兰 MacPaw 公司发布 SpyBuster 旨在帮助用户应对俄罗斯的数据管控
位于乌克兰的Setapp开发商MacPaw已经创建了一个Mac应用程序，供用户了解他们的数据是否被保存在俄罗斯服务器上，依照该国法律可以被当局读取。总部位于乌克兰基辅的MacPaw已经告诉用户，尽管俄罗斯入侵该国，但这家乌克兰公司开发的软件作品Setapp、CleanMyMac X等将继续提供支持。...
乌克兰银行和政府网站疑遭网络攻击而陷入瘫痪
东欧国家数字转型部负责人表示，由于大规模分布式拒绝服务(DDoS)攻击，多个乌克兰政府网站于周三下线了。DDoS攻击通过使用大量的请求来提供网页进而使网站陷入瘫痪。Mykhailo Fedorov在Telegram上表示，一些银行网站也被关闭了。 乌克兰外交部、部长内阁和议会网站在周三早些时候仍无...
评论列表
发表评论
