linux工程师，RHCE
分类： 网络与安全
2021-01-14 22:18:55
拥有Sakura Samurai的安全研究人员在联合国环境规划署(UNEP)子域中识别了公开的GitHub凭据，从而使他们可以访问大量数据，包括100,000多个员工记录。
拥有Sakura Samurai的安全研究人员在联合国环境规划署(UNEP)子域中识别了公开的GitHub凭据，从而使他们可以访问大量数据，包括100,000多个员工记录(下图)。
近日Sakura Samurai的安全人员在研究联合国漏洞披露计划范围内的资产安全漏洞时，发现了一个ilo.org子域，该子域暴露了大量Git账户信息。
泄露的信息可使非授权访问者接管一个SQL数据库，并在国际劳工组织的调查管理平台上执行账户接管。尽管存在严重漏洞，但是这两个资产已经被废弃，没有什么有用数据。
但是，进一步探查后，研究人员成功进入了一个泄露GitHub凭证的UNEP子域，能够访问和下载“很多受密码保护的私有GitHub项目”。
Sakura Samurai指出，这些项目包含多个数据库以及环境署生产环境的应用程序凭证。总计核实了7个凭证对，从而提供了对更多数据库的未授权访问。
研究者在其中一份文件中，确定了两份包含102,000份员工差旅记录的文档。这些记录包括姓名、员工ID号、员工组、旅行理由、旅行的开始和结束日期、批准状态、停留时间和目的地。
研究人员还发现了两个文档，其中一个包含7,000多个人力资源国籍人口统计记录(上图)，包括员工姓名和组、ID号、员工的国籍和性别、员工薪资等级以及工作单位标识号和单位文本标签。另一个文档中找到了1,000多个通用员工记录，包括编号、员工姓名和电子邮件以及员工工作子区域。
另一份文件披露了超过4,000个项目和资金来源记录(上图)，包括受影响的地区、赠款和联合融资金额、资金来源、项目标识号、执行机构、国家、项目期限和批准状态。包含评估报告的文档里有关283个项目的信息，包括评估和报告的总体描述、评估进行的时期以及报告的链接。
