环境署数据库的一个漏洞暴露联合国雇员数据
来源:内容转载
阅读量:2579
发布时间:2021-01-15 03:07:43
我要分享
据一组独立安全研究人员称,联合国环境规划署(简称“环境署”)所属GitHub库的一个漏洞暴露了超过10万条员工记录,包括个人身份信息、联系方式和其他敏感数据。环境署负责协调联合国的环境活动。一个新的道德黑客组织Sakura Samurai在其报告中指出,这些漏洞源于一个暴露GitHub存储库凭证的终端。 “这些凭证让我们有能力下载GitHub库,识别出大量的用户凭证和个人身份信息。我们总共识别了超过10万条私人员工记录。”该小组的安全研究人员之一John Jackson说。 分析还显示,在联合国拥有的名为ilo.org的网络服务器上有多个.Git目录。Jackson在报告中写道:“这些.Git内容就可以用各种工具(如’git-dumper’)进行外泄。” 据Sakura Samurai报道,在研究人员将他们的发现通知给联合国后,该国际组织修复了该漏洞,GitHub库已无法访问。目前无法立即联系到联合国发言人发表评论。研究人员还指出,虽然没有证据表明有威胁行为者访问了这些数据,但这样做相对容易。 研究人员首先接管了属于联合国国际劳工组织的一个MySQL数据库和一个调查管理平台,开始了他们的行动。然后,该小组分析了MySQL数据库中的域,找到了UNEP的子域,这让他们找到了GitHub的凭证。 “最终,一旦我们发现了GitHub凭证,我们就能够下载很多受密码保护的私人GitHub项目,在这些项目中,我们发现了UNEP生产环境的多套数据库和应用凭证,”Jackson指出。 暴露的数据包括超过102000条联合国员工的记录,包括员工的身份证号码、姓名和其他敏感数据。报告称,还可以访问7000多条员工国籍记录、1000多条普通员工记录、项目和资金数据以及环境署项目的评估记录。 研究人员还指出,他们能够找到更多U.N.GitHub库的凭证,这可能导致更多未经授权的访问多个U.N.数据库。“我们决定停止并报告这个漏洞,一旦我们能够访问通过数据库备份暴露的私人项目中的(个人身份信息),”Jackson写道。 GitHub存储库中暴露的员工数据可能会给联合国带来重大的网络威胁。“对员工数据泄露的主要担忧是,在对员工本身以及与他们互动的任何商业伙伴进行高度针对性的后续社会工程攻击时有用,”安全公司Cerberus Sentinel的解决方案架构副总裁Chris Clements说。 “所披露的管理凭证很可能已经足以损害脆弱的应用程序以及共享相同基础设施或重用相同密码的其他应用程序。拥有这种访问权限的攻击者可以将恶意软件插入生产应用程序中,试图感染用户。” 安全公司KnowBe4的安全意识倡导者Javvad Malik表示,攻击者可能会使用这些暴露的数据。“获得对员工潜在敏感信息的访问权限,可以通过网络钓鱼、密码重置或身份窃取来利用对组织、同事或个人本身的攻击,”Malik说。 其他攻击 随着COVID-19的到来,攻击者一直在欺骗联合国和其他机构,作为他们利用流行病主题的运动的一部分。 2月,安全公司Kaspersky和Sophos报告说,黑客利用设计成美国疾病控制和预防中心和联合国世界卫生组织的域名进行网络钓鱼活动。 根据谷歌威胁分析小组的报告,5月份,在印度活动的”hack-for-hire” 组织发出欺骗世界卫生组织的电子邮件,以窃取世界各地金融服务、咨询和医疗保健公司员工的证书。 (消息来源:cnBeta;封面源自网络)
分享到:
热点资讯
-
空姐3千,明星1万,明码标价的“私人伴游”竟为色情服务
-
警方紧急通报!车主注意,这类骗局近期高发,全国已有多人中招
-
起底张庭微商帝国:产品质量引发质疑,营销模式被指涉传
-
从脑白金、铂爵旅拍再到360借条,到底是谁在为奇葩广告买单?
-
掌声哥在吃屎,吴帝聪送房车…短视频里的成功学大师众生相
-
张萌身份被盗用?起底明星隐私信息倒卖链:30买手机号,150买全套
-
花4.5万就能拿到大厂offer,付费求职到底是馅饼还是陷阱?
-
卧底网络赌博群:看场球被骗十几万,多平台用同一套路疯狂割韭菜
-
张馨予遭勒索的背后,是一天盈利数万元的网络水军“黑色产业链”
-
微博上那些“私人借贷”,让你越贷越穷的连环诈骗
-
汇仁肾宝、印度神油……上亿的“性”福智商税,总有一款适合你
-
你的9.9到付快递,很可能是新型疯狂骗局,全国200多万人被骗!
-
庞氏骗局“新玩法”,6000人“云养猫”被骗数十亿
-
“热搜前三1次7万”,郑爽被质疑买热搜?杨幂谢娜也曾为此买单
-
靠摆拍正能量收入上百万,抖音快手等短视频博主新的财富密码
-
花2300万请易烊千玺代言,却收到一纸维权声明,腾讯老干妈事件重演?
-
明星换脸不雅视频、贴身衣物买卖盛行,闲鱼成为色情交易温床?
-
快手网红直播送手机后“诈死”,抽奖诈骗披着直播带货外衣“复活”
-
大胃王产业链:靠吃播赚钱,靠催吐存活
-
《乘风破浪》张雨绮的美胸神器,同类产品曾被质疑损害孩子身体
-
范闲为李沁展示的小仙女神器,竟致死1.4万人?
-
贴吧色情交友信息泛滥,掉队的百度,又被色情黑产盯上了?
-
又闹出人命,前科累累的气功荒诞发展史,马云钱学森都曾深信不疑
-
左右乳业标准?蒙牛伊利“六宗罪”:一场21世纪的“叫魂”危机