当前位置: 首页
科技数码
公共仓库泄密风险:1.7万密钥暴露,GitLab安全漏洞与数据库凭证防护

公共仓库泄密风险:1.7万密钥暴露,GitLab安全漏洞与数据库凭证防护

热心网友 时间:2025-12-01
转载

11月29日,Truffle Security安全工程师在GitLab Cloud平台上扫描了约560万个公共代码仓库,发现其中竟有17,430条有效密钥仍在泄露,波及2,804个独立域名,涵盖云服务、数据库和各类API凭据等敏感信息。他也因此获得了超过9000美元(约合63748元人民币)的漏洞奖金。

公共仓库扫出 1.7 万条有效密钥:安全工程师发现 GitLab 大规模泄密,GCP 与数据库凭据暴露最严重

这项研究由安全工程师Luke Marshall主导,并通过Truffle Security的研究计划发布。他此前也对Bitbucket与Common Crawl数据集进行过类似检查,分别发现了6,212条和12,000条有效密钥。Luke长期关注开源生态系统中的密钥泄露问题,此前曾在NPM、PyPI中发现过类似情况。

GitLab于2011年正式问世,是三大主流Git托管服务之一。虽然它发布最晚,但其公开仓库数量几乎是Bitbucket的两倍。与GitHub、Bitbucket一样,由于Git记录会长期保留历史提交,平台又托管着数百万公开项目,因此更容易出现开发者误提交密钥的情况。

公共仓库扫出 1.7 万条有效密钥:安全工程师发现 GitLab 大规模泄密,GCP 与数据库凭据暴露最严重

▲ 机翻截图

Luke Marshall使用了Truffle Security开源软件,通过GitLab的公共API枚举所有公共仓库,并使用自编的Python脚本分页获取结果。整个过程在约24小时内完成,云端总成本约为770美元。

Marshall共发现了17,430条可验证且仍可使用的密钥,数量约为其Bitbucket扫描结果的三倍,库密度(每仓库暴露的密钥数量)也高出35%。

据报告介绍,泄露的密钥大多数是2018年之后生成的,甚至包括可追溯到2009年且至今仍有效的密钥(早于GitLab的发布日期,推测为从其他平台迁入时带入)。

公共仓库扫出 1.7 万条有效密钥:安全工程师发现 GitLab 大规模泄密,GCP 与数据库凭据暴露最严重

公共仓库扫出 1.7 万条有效密钥:安全工程师发现 GitLab 大规模泄密,GCP 与数据库凭据暴露最严重

在暴露的密钥中,Google Cloud Platform(GCP)凭证是最常见的类别,平均每约1060个仓库中就会出现一组有效GCP密钥,总数超过5,200条;其次是MongoDB密钥、Telegram机器人令牌和OpenAI密钥。

公共仓库扫出 1.7 万条有效密钥:安全工程师发现 GitLab 大规模泄密,GCP 与数据库凭据暴露最严重

另外,此次研究还观察到显著的“平台本地性”:在GitLab上发现了406组有效GitLab密钥,而在Bitbucket上仅出现16组,说明开发者更容易在使用某个平台时误提交该平台的访问凭证。

为加速后续的漏洞披露流程,他使用可联网搜索的Claude Sonnet 3.7分析每个域名的最佳安全报告渠道,并额外编写脚本生成披露邮件,最终向120余个组织报告了泄露情况,并另外与30多家SaaS服务提供商合作,协助处理客户凭证暴露问题。

Marshall表示,许多组织已在收到通知后撤销其暴露的密钥,但仍有部分凭据继续在GitLab上公开暴露。

来源:https://www.ithome.com/0/901/172.htm

游乐网为非赢利性网站,所展示的游戏/软件/文章内容均来自于互联网或第三方用户上传分享,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系youleyoucom@outlook.com。

同类文章
更多
蔡司6月2日发布新品镜头技术迎来重大突破

蔡司6月2日发布新品镜头技术迎来重大突破

蔡司宣布将于6月2日发布一款新镜头,并称其为镜头技术的重大突破,标志着全新纪元的开启。官方仅公布了产品剪影,但措辞暗示其可能带来根本性的技术升级,例如全新光学结构、先进镀膜或对焦系统改进。具体细节需待发布日揭晓。

时间:2026-05-23 20:02
神舟二十三号飞船将携带九项科学实验进驻中国空间站

神舟二十三号飞船将携带九项科学实验进驻中国空间站

据中国科学院空间应用工程与技术中心最新消息,神舟二十三号载人飞船即将发射升空,计划携带总计9项前沿科学实验项目进驻中国空间站。此次上行实验的样品及配套装置总重约54公斤,实验材料种类丰富,涵盖了肝脏细胞、水稻与拟南芥种子、纳米酶、放线菌以及钙钛矿太阳能电池等关键领域,旨在利用空间站独特环境开展多学科

时间:2026-05-23 20:02
香港女警黎家盈任载荷专家 资讯科技专长助力航天任务

香港女警黎家盈任载荷专家 资讯科技专长助力航天任务

5月23日上午,酒泉卫星发射中心举行神舟二十三号载人飞行任务新闻发布会,正式宣布任务计划。根据安排,神舟二十三号载人飞船将于北京时间5月24日23时08分准时发射升空。 本次飞行乘组的组成备受瞩目。神舟二十三号任务乘组由指令长朱杨柱、航天员张志远以及来自中国香港的载荷专家黎家盈共同构成。这标志着中国

时间:2026-05-23 20:01
苹果Beats新款头戴耳机通过FCC认证即将上市

苹果Beats新款头戴耳机通过FCC认证即将上市

美国联邦通信委员会数据库出现一款型号为A3577的蓝牙头戴式耳机,并非已知的AirPodsMax2。目前公开信息极少,仅有一张普通耳机耳罩图片。推测其可能属于苹果旗下Beats品牌的新一代产品,如BeatsStudioPro的更新型号,但具体身份仍有待后续信息确认。

时间:2026-05-23 20:01
永辉超市转型裁员三万人 CEO涨薪引争议

永辉超市转型裁员三万人 CEO涨薪引争议

永辉超市因大连御锦拖欠股权转让尾款36亿余元申请强制执行,担保人王健林承担连带责任。永辉近年推行“胖改”后关店裁员约三万人,CEO薪酬却大幅上涨。追债成功与否存疑,万达自身债务压力使款项回收难度极大。此事关乎永辉现金流,已成为生存攸关的紧迫问题。

时间:2026-05-23 20:01
热门专题
更多
刀塔传奇破解版无限钻石下载大全 刀塔传奇破解版无限钻石下载大全
洛克王国正式正版手游下载安装大全 洛克王国正式正版手游下载安装大全
思美人手游下载专区 思美人手游下载专区
好玩的阿拉德之怒游戏下载合集 好玩的阿拉德之怒游戏下载合集
不思议迷宫手游下载合集 不思议迷宫手游下载合集
百宝袋汉化组游戏最新合集 百宝袋汉化组游戏最新合集
jsk游戏合集30款游戏大全 jsk游戏合集30款游戏大全
宾果消消消原版下载大全 宾果消消消原版下载大全
  • 日榜
  • 周榜
  • 月榜
热门教程
更多
  • 游戏攻略
  • 安卓教程
  • 苹果教程
  • 电脑教程