Un token filtrado por un colaborador de Mercedes-Benz proporcionó acceso a todo el código fuente almacenado en el servidor GitHub Enterprise del fabricante de automóviles.
El token, que se descubrió durante un escaneo de Internet, se filtró en el repositorio GitHub del colaborador y proporcionó acceso sin restricciones y sin supervisión al código fuente.
La brecha, dice RedHunt , ocurrió el 29 de septiembre de 2023, pero no fue descubierta hasta el 11 de enero de este año. Mercedes revocó el token filtrado el 24 de enero, dos días después de ser alertados del incidente.
«Mercedes-Benz confirmó la filtración, reconociendo la gravedad de la situación, y tomó medidas inmediatas revocando el token API correspondiente», señaló RedHunt.
Durante el período de exposición, un atacante podría haber usado el token para acceder a claves API, planos, claves de acceso a la nube, cadenas de conexión de bases de datos, documentos de diseño, archivos, informes, código fuente, contraseñas SSO y otra información interna crítica.
El impacto de la filtración de datos, dice la firma de ciberseguridad, podría haber ido más allá de esta extensa exposición a la propiedad intelectual, ya que podría haber tenido importantes implicaciones financieras, además de dar lugar a problemas legales y posibles daños a la reputación.
“El token de GitHub filtrado para el Github Enterprise Server de Mercedes abre una puerta de entrada para que adversarios potenciales accedan y descarguen el código fuente completo de la organización. Profundizar en este código fuente podría exponer credenciales altamente confidenciales, creando un caldo de cultivo para una violación de datos extremadamente grave contra Mercedes”, señaló RedHunt.