三星多個代碼泄密，包括SmartThings敏感的源代碼、證書和密鑰！

5月9日，據美國科技媒體TechCrunch報道，一名信息安全研究員近期發現，三星工程師使用的一個開發平台泄露了多個內部項目，包括三星SmartThings敏感的源代碼、證書和密鑰。

三星數十個自主編碼項目出現在旗下Vandev Lab的GitLab實例中。該實例被三星員工用於分享並貢獻各種應用、服務和項目的代碼。由於這些項目被設置為「公開」，同時沒有受到密碼的保護，因此任何人都可以查看項目，獲取並下載源代碼，從而導致絕密信息泄露。

迪拜信息安全公司SpiderSilk的安全研究員莫撒布·胡賽因（Mossab Hussein）發現了這些泄露的文件。他表示，某個項目包含的證書允許訪問正在使用的整個AWS帳號，包括100多個S3存儲單元，其中保存了日誌和分析數據。

他指出，許多文件夾包含三星SmartThings和Bixby服務的日誌和分析數據，以及幾名員工以明文保存的私有GitLab令牌。這使得他可以額外獲得42個公開項目，以及多個私有項目的訪問許可權。

三星回應稱，其中一些文件是用於測試的，但胡賽因對此提出質疑。他表示，在GitLab代碼倉庫中發現的源代碼與4月10日在Google Play上發布的Android應用包含的代碼相同。這款應用隨後又有過升級，到目前為止的安裝量已經超過1億多次。

胡賽因說：「我獲得了一名用戶的私有令牌，該用戶可以完全訪問GitLab上的所有135個項目。」因此，他可以使用該員工的帳號去修改代碼。

胡賽因還提供了多張屏幕截圖和視頻作為證據。泄露的GitLab實例中還包括三星SmartThings的iOS和Android應用的私有證書。

三星發言人扎克·杜根(Zach Dugan)表示：「最近，一位個人安全研究員報告說，我們一個測試平台的安全獎勵計劃存在漏洞。我們迅速撤銷了其報告測試平台的所有密鑰和憑證，雖然我們尚未找到任何外部訪問的證據，但我們目前正在對此進行進一步調查。」

海珊稱，三星的數據泄露是他迄今最大的發現。他說：「我還沒有見過這麼大的一家公司使用這種奇怪的做法來處理他們的基礎設施。」

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！