來自技術、金融、零售和其他領域的 50 多家知名公司內部軟件源代碼泄露!

[[335653]]

瑞士開發人員 Tillie Kottmann 從微軟、迪士尼、摩托羅拉、華為海思等公司獲取了源代碼，并發布在 GitLab 上的公共在線存儲庫中，任何人都可以訪問該代碼。

Tillie Kottmann 還在其 Twitter 賬戶上發布了指向在線存儲庫的鏈接。

50 多家公司代碼被泄露

泄漏代碼的公共存儲庫中包括微軟、Adobe、聯想、AMD、高通、摩托羅拉、華為海思、聯發科技、GE家電、任天堂、Roblox、迪士尼、江森自控等知名公司，而且這個清單還在增長。

這些泄漏來自各種來源，也來自他們自己對配置錯誤的 Devops 工具的追捕，這些工具可以訪問源代碼。

在 GitLab 上的公共存儲庫中可以找到大量此類泄漏，這些泄漏的名稱為“機密”，或者更貼切的標簽為“機密和專有”。

據專注于銀行業威脅和欺詐的研究人員 Bank Security 稱，該信息庫中發布了來自 50 多家公司的代碼。不過，并非所有文件夾都已填充，但是研究人員說在某些情況下還存在憑據。

開發人員承認，在發布代碼之前，他們并不總是與受影響的公司聯系，但是他們努力將發布所產生的負面影響最小化。Kottmann 說：“我會盡力防止發布中直接導致的任何重大問題。”

公司使用錯誤的 Devops 工具暴露代碼

Kottmann 還表示，他們遵守移除要求，并樂意提供可增強公司基礎架構安全性的信息。但是，一些公司甚至可能沒有注意到其源代碼已被在線發布。即使他們知道了，可能也不在乎。一些注意到其代碼公開的企業不會費心將其刪除。至少在一個實例中，一家公司的幾名開發人員只是想知道 Kottmann 是如何獲得代碼的，并沒有要求刪除代碼，反而認為“很有趣”。

Kottmann 稱，他們試圖在發布硬編碼憑證之前從公司的源代碼中刪除這些硬編碼憑證，這些憑證通常用于創建后門程序，以免發生更加強大的安全漏洞。

回顧在 Kottmann 的 GitLab 服務器上泄漏的一些代碼，可以發現某些項目已由其原始開發人員公開發布，或者在很久以前進行了最后更新。

不過，開發人員表示，有更多公司使用錯誤的 Devops 工具配置了暴露源代碼的公司。此外，他們正在探索運行 SonarQube 的服務器，SonarQube 是一個開源平臺，用于自動代碼審核和靜態分析，以發現錯誤和安全漏洞。

Kottmann 相信，有成千上萬的公司由于未能正確保護 SonarQube 安裝而暴露了專有代碼。

正如安全專家 Jake Moore 所說，將源代碼提供給公眾查看可以使網絡攻擊者更容易竊取公司的機密。

Jake Moore 說：“失去對互聯網源代碼的控制，就像把銀行的藍圖交給劫匪一樣。”