В паблике найдены два миллиона Git-хранилищ с метаданными проектов

В паблике найдены два миллиона Git-хранилищ с метаданными проектов

В паблике найдены два миллиона Git-хранилищ с метаданными проектов

Исследователи из Cybernews обнаружили в интернете около 2 млн активных хостов с общедоступной директорией .git. Подобная оплошность грозит утечкой исходных кодов и облегчает задачу злоумышленникам, стремящимся получить доступ к системе.

Директория .git хранит информацию о развитии проекта — адреса удаленных репозиториев, историю версий и другие критически важные метаданные. Оставлять такие сведения в паблике рискованно, когда речь идет о безопасности пользователей и чистоте репутации компании.

Сканирование портов 80 и 443, обычно используемых веб-службами, выявило 1 931 148 «живых» IP-адресов, сливающих структуру каталогов проекта.

«Публичный доступ к директории .git ставит под удар сохранность исходников, — поясняет эксперт Cybernews Мартинас Варейкис (Martynas Vareikis). — Инструменты, необходимые для получения фрагментов или полного кода из папки .git, бесплатны и хорошо известны, что может спровоцировать еще больше внутренних утечек или облегчить получение доступа к системе в случае атаки».

Более 31% общедоступных директорий .git находятся в США, вторую позицию в непочетном списке занимает Китай (8%), третью — Германия (6,5%).

 

Исследователи также обнаружили, что порядка 6,3% публично доступных файлов конфигурации Git содержат учетные данные, позволяющие просматривать, создавать или удалять коммиты в репозиториях. Такое положение дел, по словам Варейкиса, открывает возможность для внедрения вредоносной рекламы, неавторизованного изменения контента, сбора платежных данных с помощью веб-скиммеров.

Эксперт рекомендует разработчикам в обязательном порядке использовать файл .gitignore для сокрытия конфиденциальных данных при фиксации изменений в проекте на GitHub. Также стоит озаботиться защитой доступа к публичным веб-серверам по IP-адресу, о которой часто забывают. В сложившейся практике правила контроля доступа устанавливаются только для основного домена, который юзеры быстро запоминают и обычно используют в запросах. Отсутствие такой же защиты для соответствующего IP позволяет, в числе прочего, изменить домен и настройки правил доступа.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Бывший замглавы Минцифры Максим Паршин осуждён на 9 лет

Хамовнический суд Москвы приговорил бывшего заместителя министра цифрового развития, связи и массовых коммуникаций Максима Паршина к девяти годам лишения свободы за получение взятки. Отбывать наказание он будет в колонии строгого режима.

Его подельник, бывший генеральный директор компании «Бюджетные и финансовые технологии» Александр Моносов, получил срок на полгода меньше — восемь с половиной лет колонии строгого режима.

О вынесении приговора сообщил корреспондент ТАСС из зала суда. Кроме лишения свободы, обоим фигурантам предстоит выплатить штраф в размере 315 млн рублей.

Максим Паршин также лишён звания действительного государственного советника Российской Федерации 3-го класса. Кроме того, ему запрещено занимать государственные должности в течение шести лет после освобождения. Александру Моносову запрещено занимать руководящие посты в течение пяти лет после окончания срока наказания.

Отмечается, что гособвинение просило назначить для Максима Паршина более суровое наказание — 13 лет лишения свободы и штраф в 315 млн рублей, а для Александра Моносова — 12 лет лишения свободы и штраф в 500 млн рублей.

Оба были задержаны с поличным 13 июня 2023 года в одном из московских ресторанов. При передаче взятки Александр Моносов вручил Максиму Паршину папку, внутри которой находились 3,75 млн рублей. По версии следствия, деньги предназначались за содействие в выделении гранта компании «Бюджетные и финансовые технологии», которую возглавлял Моносов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru