Паролі та токени держслужбовців з кібербезпеки США пів року пролежали відкритими на GitHub

Підрядник американського державного агентства з кібербезпеки та інфраструктури (CISA) випадково тримав у вільному доступі на GitHub приватні хмарні ключі, токени, паролі, логи та інші асети державних службовців.

Витік помітив дослідник компанії, яка сканує публічні репозиторії на витоки секретів та попереджає власників. Репозиторій держагентства США мав назву Private-CISA та був створений ще у листопаді минулого року.

Усередині були хмарні ключі, токени, паролі у відкритому вигляді, логи та внутрішні файли, які описували, як CISA збирає, тестує та деплоїть програмне забезпечення. Один із файлів містив адміністративні ключі до трьох AWS GovCloud-акаунтів, а інший — plaintext-логіни та паролі до десятків внутрішніх систем агентства.

Скрін KrebsOnSecurity

Частина AWS-ключів справді працювала та давала доступ до трьох акаунтів AWS GovCloud з високими правами. Також у репозиторії були дані для доступу до внутрішнього сховища пакетів — через нього зловмисники теоретично могли б підмінити пакети та потрапити далі в процес збірки програмного забезпечення.

Репозиторій підтримував співробітник підрядника уряду США. Схоже, його використовували як робочу чернетку або як спосіб синхронізувати файли між різними комп’ютерами.

У CISA підтвердили, що знають про ситуацію та розслідують її. В агентстві кажуть, що наразі не бачать ознак компрометації чутливих даних. Цікаво, що хоча репозиторій уже прибрали з доступу, частина ключів залишалася робочою ще близько двох діб після повідомлення.