Según un investigador de seguridad, Mossab Hussein, Samsung estaba filtrando datos confidenciales, como credenciales, códigos fuente y claves secretas, para varios proyectos importantes.
Sin saberlo, la compañía había dado acceso «público» a los archivos críticos en su laboratorio de desarrollo en GitLab, los cuales no estaban protegidos con una contraseña.
Los datos expuestos contenían credenciales para la cuenta de servicios web de Amazon que se utilizaba para el desarrollo de los servicios de Samsung. Estos, además, revelan 100 compartimientos de almacenamiento S3 adjuntos a la misma cuenta de AWS que contiene datos de análisis y registros.
Los tokens de acceso al GitLab de los empleados también forman parte de los datos confidenciales que se descubrieron. El investigador de seguridad obtuvo acceso a varios proyectos públicos y privados con los tokens de acceso, lo que aumentó el número de proyectos expuestos de 43 a 135. «Tenía el token privado de un usuario que tenía acceso completo a los 135 proyectos en ese GitLab», afirma Mossab Hussein.
La mayoría de los archivos visibles públicamente contenían datos relacionados con los servicios SmartThings y Bixby de Samsung. Podría haber sido «desastroso» si algún mal actor manipulara el código.
Samsung aloja múltiples proyectos en Vandev Lab, un repositorio de GitLab de la compañía con fines de desarrollo. El mismo repositorio contiene proyectos como la plataforma SmartThings de Samsung y los servicios de Bixby.
Sin embargo, Samsung ahora ha revocado el acceso a todas las claves y credenciales en la plataforma de prueba. La compañía está investigando para encontrar evidencia de cualquier acceso externo tras este suceso.
Luego de que se descubriera todo esto, la firma aplicará medidas de seguridad más fuertes en todos sus laboratorios, claramente, así como en otros sectores abiertos a diferentes públicos, con la intención de que algo similar no vuelva a ocurrir en un futuro.
(Fuente)
