Исходные коды компании Nissan утекли из-за неверной конфигурации Git-сервера с активной учеткой admin/admin

vbbka1ckfufmuasm_jvd8njrc1c.jpeg

По информации портала ZDNet, из-за неверно сконфигурированного сервера Git на Bitbucket в открытый доступ оказались выложены данные внутренних Git-репозиториев компании Nissan North America.

IT-эксперт Тилли Коттманн (Tillie Kottmann) первым обнаружил, что автопроизводитель по какой-то причине оставил на своем Git-сервере активную учетку по умолчанию с логином и паролем admin/admin.
Коттманн пояснил, что полный дамп с утечкой всех Git-репозиториев от Nissan NA занимает 18.4 ГБ, в него входят следующие исходные коды и разработки компании:

  • мобильные приложения Nissan NA;
  • элементы и средства диагностики ASIST;
  • компоненты дилерских бизнес-систем и дилерский портал;
  • основной модуль мобильной библиотеки Nissan;
  • диагностические утилиты и сервисы Nissan/Infiniti — NCAR / ICAR;
  • инструменты для привлечения и удержания клиентов;
  • маркетинговые инструменты, включая анализ продаж, исследование рынка, а также данные, полученные с их помощью;
  • портал транспортной логистики;
  • сервис подключения к автомобилю различных устройств — Nissan connect things;
  • серверные бэкенды и внутренние инструменты компании.

gzjg3twhmm5mhq5hevhnig1clfk.pngУтекшие данные Nissan.

Ссылку на торрент-файл с этой утечкой были опубликованы в Telegram-каналах и на хакерских форумах.

rdcgb7dclvlnhz_o2trzmsmndic.jpeg
Коттманн успел бегло проанализировать данные и обнаружил, что в диагностической системе ASIST шифрование пароля выполняется алгоритмом RC4 с единственным ключом «Amalesh».

Nissan подтвердила ZDNet, что в курсе утечки. Сейчас компания занимается расследованием этого инцидента. Специалисты Nissan также отключили Git-сервер, чтобы минимизировать дальнейшие проблемы с раскрытием конфиденциальной информации и исходного кода Nissan. Компания не пояснила, сколько времени информация была легко доступна извне, а также что еще было скачено с серверов компании во время этого инцидента.

В мае прошлого года были Коттманн смог скачать исходные коды компонентов «умного автомобиля», устанавливаемые в микроавтобусах Mercedez-Benz. Оказалось, что Daimler позволял любому пользователю зарегистрироваться на одном из своих локальных серверов GitLab, а затем можно было загружать Git-репозитории, содержащие исходный код Mercedes.

© Habrahabr.ru