Незащищённый сервер Nissan слил исходный код внутренних разработок

Незащищённый сервер Nissan слил исходный код внутренних разработок

Исходный код мобильных приложений и внутренних инструментов североамериканского представительства компании Nissan оказались в открытом доступе. Проблема в том, что японский автопроизводитель некорректно настроил один из своих Git-серверов.

Как объяснил швейцарский специалист Тилли Коттманн, сотрудники Nissan умудрились оставить открытый Git-сервер, доступ к которому можно было получить с помощью стандартной связки «имя пользователя-пароль» — admin-admin.

Коттманн изучил содержимое репозитория и выяснил, что на незащищённом сервере хранился исходный код следующих разработок автопроизводителя:

  • Мобильных приложений Nissan.
  • Nissan ASIST, инструмента для диагностики (частично).
  • Систем Dealer Business Systems / Dealer Portal.
  • Внутренней библиотеки.
  • Служб Nissan/Infiniti NCAR/ICAR.
  • Инструментов для поиска и удержания клиентов.
  • Инструментов для изучения рынка.
  • Маркетинговых инструментов.
  • Многих других внутренних и бэкенд-инструментов.

 

После того как информация о незащищённом сервере попала в Сеть, неизвестные начали распространять внутренние данные Nissan через торрент-ссылки в Telegram-каналах и на хакерских форумах. Представители японского автопроизводителя уже подтвердили факт утечки и сообщили, что компания расследует инцидент.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Android-версии московских госуслуг нашли возможность взлома аккаунта

В Android-версии мобильного приложения «Госуслуги Москвы» нашлась уязвимость, с помощью которой потенциальный злоумышленник мог получить доступ к аккаунту гражданина, располагая при этом лишь телефонным номером последнего. В настоящий момент разработчики уже пропатчили брешь.

О проблеме безопасности рассказали исследователи из компании Postuf. По их словам, любой желающий мог получить доступ к личному кабинету другого пользователя, указав всего лишь номер его телефона.

Другими словами, в случае успешной эксплуатации уязвимости в руки злоумышленника или любопытного гражданина попадали следующие данные: ФИО, адрес электронной почты, год рождения, номер СНИЛС и ОМС, список имущества, а также информация о загранпаспорте и детях. Именно эти сведения содержатся в личном кабинете приложения «Госуслуги Москвы».

Как отметили сотрудники РБК, ознакомившиеся с выводами Postuf, с помощью номера полиса ОМС можно было получить доступ к медицинской информации россиянина. Для этого достаточно было воспользоваться системой ЕМИАС. Здесь речь идёт уже о крайне личных данных: список врачей, которых посещает гражданин, какие рецепты он получает и тому подобное.

При этом с помощью выявленной бреши можно было не только просмотреть данные в госуслугах, но и отредактировать их. Для самой жертвы такие манипуляции остались бы незамеченными.

Как подчеркнули представители Postuf, разработчики устранили уязвимость после отправки соответствующего запроса в ДИТ.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru