गिटहब टोकन से ग्राफाना लैब्स का स्रोत कोड उजागर

ग्राफाना लैब्स को एक सुरक्षा उल्लंघन का सामना करना पड़ा जब एक कर्मचारी ने एक सार्वजनिक रिपॉजिटरी में एक व्यक्तिगत एक्सेस टोकन उजागर कर दिया। इस टोकन में उच्च अनुमतियाँ थीं, जिसने एक हमलावर को प्लेटफ़ॉर्म के पूर्ण कोड बेस वाली निजी रिपॉजिटरी को क्लोन करने की अनुमति दी। इस घटना के परिणामस्वरूप जबरन वसूली का प्रयास हुआ, जिसमें फिरौती न देने पर कोड लीक करने की धमकी दी गई, जिससे लापरवाही से क्रेडेंशियल प्रबंधित करने के जोखिम उजागर हुए।

उच्च अनुमतियाँ: हमले के पीछे तकनीकी त्रुटि 🔑

कर्मचारी के व्यक्तिगत एक्सेस टोकन में repo और workflow जैसे व्यापक दायरे थे, जिसने हमलावर को निजी रिपॉजिटरी पर पूर्ण नियंत्रण प्रदान किया। ग्राफाना लैब्स ने पुष्टि की कि ग्राहक डेटा या उत्पादन वातावरण तक पहुंच नहीं हुई, लेकिन सुरक्षा के महत्वपूर्ण मॉड्यूल सहित स्रोत कोड डाउनलोड कर लिया गया। कंपनी ने क्रेडेंशियल बदल दिए और लॉग की ऑडिट की, लेकिन यह घटना अनुमतियों को सीमित करने और वास्तविक समय में उजागर रहस्यों का पता लगाने के लिए GitHub Advanced Security जैसे टूल का उपयोग करने की आवश्यकता को रेखांकित करती है।

वह फिरौती जो किसी ने कोड के लिए नहीं दी जो पहले से सार्वजनिक है 💰

हमलावर ने रिपॉजिटरी को क्लोन करने के बाद, जैसे कि यह सॉफ्टवेयर अपहरण हो, फिरौती मांगने का प्रयास किया। लेकिन निश्चित रूप से, जब कोड पहले ही इंटरनेट पर फैल चुका है, तो भुगतान करना चोरी के बाद ताला खरीदने जैसा है। ग्राफाना लैब्स ने समझदारी से हार नहीं मानी। अब, शापित टोकन और विचलित कर्मचारी इतिहास में उस गतिशील जोड़ी के रूप में दर्ज होंगे जिसने सभी को याद दिलाया कि GitHub पर एक साधारण टेक्स्ट कंपनी के डिनर से अधिक महंगा पड़ सकता है।