包含敏感数据数千个 Firefox cookie 出现在 GitHub 存储库中
包含敏感数据的数千个 Firefox cookie 数据库目前出现在 GitHub 的存储库中，这些数据可能用于劫持经过身份验证的会话。这些 cookies.sqlite 数据库通常位于 Firefox 配置文件文件夹中。它们用于在浏览会话之间存储 cookie。现在可以通过使用特定查询参数搜索 GitHub 来找到它们，这就是所谓的搜索“dork”。
总部位于伦敦的铁路旅行服务公司 Trainline 的安全工程师 Aidan Marlin 在通过 HackerOne 报告了他的发现，并被 GitHub 代表告知“我们用户暴露的凭据不在范围内后，提醒 The Register 这些文件的公开可用性。我们的漏洞赏金计划”。Marlin 然后问他是否可以公开他的发现，并被告知他可以自由这样做。
在发送给 The Register 的电子邮件中，Marlin 表示：“我很沮丧 GitHub 没有认真对待用户的安全和隐私。它至少可以防止这个 GitHub dork
的结果出现。如果上传这些 cookie 数据库的人知道他们做了什么，他们会尿裤子”。
Marlin 承认，受影响的 GitHub 用户在提交代码并将其推送到公共存储库时未能阻止他们的 cookies.sqlite 数据库被包含在内，因此应该受到一些指责。 “但是这个 dork 的点击量接近 4500 次，所以我认为 GitHub 也有注意的义务”。他说，并补充说他已经通知了英国信息专员办公室，因为个人信息处于危险之中。
Marlin 推测这种疏忽是从一个人的 Linux 主目录提交代码的结果。他解释说：“我想在大多数情况下，个人不知道他们已经上传了他们的 cookie 数据库，用户这样做的一个常见原因是跨多台机器的公共环境”。
Marlin 说，GitHub dorks 并不新鲜，但它们通常只影响单一服务，例如 AWS。这种特殊的失误令人不安，因为它可能允许攻击者访问任何面向互联网的网站，在提交 cookie 文件时，GitHub 用户已通过该网站进行身份验证。他补充说，可能也可以找到其他浏览器的傻瓜。
（消息及封面来源：cnBeta）
“包含敏感数据数千个 Firefox cookie 出现在 GitHub 存储库中” 的相关文章
黑客用新 Rootkit 攻击银行网络从 ATM 机上窃取资金
Hackernews 编译，转载请注明出处： 据观察，一个利益熏心的黑客正在部署一个全新的针对 Oracle Solaris 系统的 rootkit，目的是ATM机网络，并在不同银行使用伪造的卡进行未经授权的现金提款。 威胁情报和事件应急公司 Mandiant 正在追踪名为 UNC2891的组织，...
育碧通报网络安全事件 全公司已采取重置密码的预防措施
在周四的一份网络安全公告中，育碧（Ubisoft）证实该公司在上周遭遇了一起“网络安全事件”。尽管攻击尝试似乎未能造成破坏，但出于安全方面的考虑，育碧还是采取了全公司范围内的密码重置措施，以防发生其它意外。在此期间，育碧暂停了部分服务，但坚称没有玩家数据受到损害。截止发稿时，该公司旗下所有游戏和服...
红十字国际委员会称“国家支持的”黑客利用未修复的漏洞发起攻击
据TechCrunch报道，红十字国际委员会（ICRC）最近遭到网络攻击，超过51.5万名“高危人群”的数据被泄露，这很可能是国家支持的黑客所为。在周三发布的更新中，红十字国际委员会证实，最初的入侵可以追溯到2021年11月9日，即在1月18日攻击被披露之前的两个月，并补充说，其分析表明，入侵是对其...
Emotet 垃圾邮件软件在全球范围内攻击邮箱
Hackernews编译，转载请注明出处： Emotet恶意软件在中断十个月后，于15日开始运行，该软件通过多次垃圾邮件攻击向全球邮箱发送恶意文档。 Emotet是一种恶意软件感染，通过带有恶意附件的垃圾邮件攻击传播。如果用户打开附件，恶意宏或JavaScript文件，将下载Emotet DLL并...
英国计划要求科技公司必须提供身份验证工具以应对匿名恶意用户
英国政府拟议中的一项措施将迫使科技公司开发工具，让用户过滤掉任何被认为 “合法但有害”的材料。这些新措施被添加到英国即将出台的《网络安全法案》中，该法案将强制要求数字平台承担起保护用户免受有害内容影响的责任。 根据英国政府周五宣布的新计划，Facebook、Google和Twitter等科技平...
CISA 向美国企业与机构发布勒索软件防御和响应指南
在过去几个月里，美国企业遭受了一系列破坏性的的勒索软件攻击，有鉴于此，国土安全部的网络安全和基础设施安全局（CISA）发布了一份防止和应对此类攻击的建议清单。这份名为《保护敏感信息和个人信息免受勒索软件导致的数据泄露》的信息表包含许多建议。此外，该文件建议公司如果成为勒索软件攻击的目标，不要支付赎金...
评论列表
发表评论
