Çin'in En Büyük Git Platformunda 26 Bin Sızdırılmış Kimlik Bulundu

Bağımsız güvenlik araştırmacısı Ben Zimmermann, Çin'in ulusal açık kaynak platformu Gitee'nin 7.25 milyon kamu deposunu tarayarak 26.400 adet doğrulanmış canlı kimlik bilgisi buldu.

Gitee, 2013'te OSChina tarafından kurulmuş ve Çin Endüstri ve Bilgi Teknolojileri Bakanlığı tarafından resmi platform olarak seçilmiş. GitHub ve GitLab'a kıyasla API'si sınırlı: proje listeleme uç noktası yok, site içi kod arama özelliği yıllar önce kaldırılmış. Bu kısıtlamalar nedeniyle platformdaki kimlik sızıntısı daha önce kapsamlı şekilde incelenmemişti.

Araştırma TruffleHog ve MongoDB'nin Kingfisher aracını kullanarak gerçekleştirildi. Bulgular arasında bir büyük yapay zekâ şirketinin aktif yönetici kimlik bilgisi, binlerce bulut sağlayıcı erişim anahtarı ve veritabanı bağlantı dizgeleri yer aldı. Tespit edilen kimlikler henüz silinmemiş durumda.

Bulgu, açık kod depolarında kimlik bilgilerinin yönetiminin ne kadar kritik olduğunu gösteriyor. Geliştiriciler sıklıkla yanlışlıkla API anahtarlarını, veritabanı parolalarını ve bulut erişim kimliklerini kodu içine gömüyor. Gitee gibi geniş platformlarda bu tür sızıntılar, saldırganların kurumsal sistemlere erişim kazanması için doğrudan bir kapı açabiliyor.