Adres e-mail do zgłoszeń na platformie DevOps działa jak token do projektów firmy

Prywatny adres e-mail, który popularna platforma DevOps przydziela każdemu użytkownikowi do zakładania zgłoszeń, zawiera bezterminowy token z szerokimi uprawnieniami. Poprawki na razie nie ma. Według badaczy znajomość takiego adresu wystarcza, żeby działać w imieniu jego właściciela w publicznych i prywatnych projektach organizacji. Dostęp do samego konta nie jest potrzebny.

Platforma przetwarza wiadomość wysłaną z dowolnej skrzynki w internecie tak, jakby wysłał ją właściciel tokena. Adres daje więc jednocześnie uwierzytelnienie i uprawnienia. Funkcja służyła na początku do tworzenia zgłoszeń, a z czasem objęła także wnioski o scalenie kodu i pliki z poprawkami. Według badaczy ujawniony adres można wykorzystać do ataku na łańcuch dostaw oprogramowania.

Kogo dotyczy

Organizacje, które rozwijają oprogramowanie na tej platformie, i ich użytkowników, a zwłaszcza tych, których adresy do zgłoszeń trafiły do publicznego internetu. Badacze oceniają, że wielu użytkowników nie zna tego ryzyka. Świadczy o tym liczba adresów opublikowanych w sieci celowo.