Forscher haben ein weit verbreitetes Sicherheitsproblem mit Online-Tools zur Codeformatierung aufgedeckt. Entwickler nutzten diese Plattformen, um Konfigurationsdateien, JSON-Ausgaben und Skripte zu bereinigen. Viele dieser Dateien enthielten sensible Authentifizierungsdaten. Der Fehler führte zu einer groß angelegten Offenlegung, die Banken, Regierungsbehörden und große Technologieunternehmen betraf. Der Vorfall zeigt, wie alltägliche Tools erhebliche Risiken erzeugen können, wenn sie Code ohne angemessene Zugriffskontrollen speichern.
Wie es zur Offenlegung kam
Plattformen wie JSONFormatter und CodeBeautify ermöglichen es Nutzern, Code einzufügen und sauberere, besser lesbare Versionen zu erzeugen. Entwickler greifen oft unter Zeitdruck auf diese Dienste zurück. Viele gehen davon aus, dass der eingefügte Inhalt privat bleibt. Die Plattformen speichern jedoch den eingereichten Code und erzeugen teilbare Links. Diese Links sind vorhersehbar, was eine automatisierte Sammlung ermöglicht.
Forscher von WatchTowr untersuchten die öffentlichen „Recent Links“-Seiten beider Plattformen. Sie sammelten mehr als achtzigtausend Dateien, die über mehrere Jahre gespeichert wurden. Die Daten umfassten Protokolle, Konfigurationsdateien und Skripte. Das Ausmaß der Offenlegung zeigte, dass viele Entwickler Beautifier in alltäglichen Arbeitsabläufen einsetzen.
Welche sensiblen Daten offengelegt wurden
Das gesammelte Material enthielt eine große Bandbreite sensibler Informationen. Angreifer könnten viele dieser Daten sofort ausnutzen. Die offengelegten Informationen umfassten:
Zugangsdaten und Schlüssel
– Active-Directory-Benutzernamen und Passwörter
– Datenbank- und Cloud-Dienst-Zugangsdaten
– API-Tokens und Payment-Gateway-Schlüssel
– Zugriffstokens für Repositorys
Infrastrukturdaten
– Interne Hostnamen und IP-Bereiche
– Deployment-Skripte und Cloud-Automatisierungs-Workflows
– SSH-Sitzungsprotokolle mit Betriebsdetails
Personen- und Organisationsinformationen
– KYC-Dokumente
– Kundendaten und Metadaten
– Konfigurationsdateien von Finanzbörsen mit aktiven Zugangsdaten
Einige Dateien stammten von Banken und großen Technologieunternehmen. Eine Konfigurationsdatei einer Handelsplattform enthielt Zugangsschlüssel für den Produktivbetrieb. Eine Regierungsbehörde veröffentlichte außerdem ein PowerShell-Härtungsskript, das interne Systemarchitektur und Sicherheitseinstellungen offenlegte.
Warum Entwickler dieses Risiko geschaffen haben
Das Problem entstand aus Bequemlichkeit. Entwickler speichern häufig Geheimnisse in Konfigurationsdateien. Wenn sie Beautifier verwenden, um diese Dateien zu bereinigen, entfernen sie die sensiblen Felder selten vorher. Da die Tools den eingefügten Inhalt speichern, werden diese Geheimnisse für jeden zugänglich, der den Link findet. Die Plattformen maskierten sensible Werte nicht, und ihr Speichermodell bot keinen Authentifizierungsschutz.
Wie Organisationen zukünftige Lecks verhindern können
Unternehmen müssen öffentliche Beautifier als nicht vertrauenswürdige Dienste behandeln. Mehrere Maßnahmen können das Risiko reduzieren:
Sicherheitskontrollen
– Alle Geheimnisse aus dem Code entfernen, bevor er geteilt oder formatiert wird
– Tools für Secret-Management einsetzen, um Zugangsdaten außerhalb des Codes zu speichern
– Automatische Secret-Scans während Commit, Push und Build aktivieren
Prozessverbesserungen
– Entwickler in sicheren Arbeitsabläufen schulen
– Öffentliche Beautifier durch interne Alternativen mit Zugriffskontrolle ersetzen
– Frühere Nutzung öffentlicher Tools überprüfen und alle kompromittierten Schlüssel rotieren
Fazit
Das Leck im Zusammenhang mit Code-Beautifiern zeigt eine vermeidbare Sicherheitslücke. Öffentliche Formatierungsdienste vereinfachen die Entwicklung, erzeugen jedoch erhebliche Risiken, wenn sie ungefilterten Code speichern. Organisationen müssen den Umgang mit Geheimnissen absichern und vertrauenswürdige interne Alternativen bereitstellen. Gute Sicherheitspraktiken, gezielte Entwicklertrainings und automatisierte Scans sind entscheidend, um ähnliche Offenlegungen in Zukunft zu verhindern.
0 Kommentare zu „Datenleck bei Code-Beautifier-Logins legt sensible Informationen offen“