建站
咨詢
售后
建站咨詢
新聞中心
最近，研究人員披露了一個安全漏洞，攻擊者利用這些漏洞，可以訪問10萬多條聯(lián)合國環(huán)境規(guī)劃署(UNEP)的私人員工記錄。
創(chuàng)新互聯(lián)公司專業(yè)成都網(wǎng)站制作、網(wǎng)站設計、外貿網(wǎng)站建設，集網(wǎng)站策劃、網(wǎng)站設計、網(wǎng)站制作于一體，網(wǎng)站seo、網(wǎng)站優(yōu)化、網(wǎng)站營銷、軟文營銷等專業(yè)人才根據(jù)搜索規(guī)律編程設計，讓網(wǎng)站在運行后，在搜索中有好的表現(xiàn)，專業(yè)設計制作為您帶來效益的網(wǎng)站！讓網(wǎng)站建設為您創(chuàng)造效益。
數(shù)據(jù)泄漏源于公開的Git目錄和憑據(jù)，這使攻擊者可以復制Git存儲庫并收集與10萬多名員工相關的大量個人身份信息(PII)。
Git目錄公開了WordPress DB和Git憑據(jù)
道德黑客與安全研究小組Sakura Samurai最近披漏了他們的漏洞發(fā)現(xiàn)，這使他們可以訪問10萬多條聯(lián)合國環(huán)境規(guī)劃署(UNEP)員工的私人數(shù)據(jù)。
與BleepingComputer共享的文件和截圖提供了關于這個安全漏洞的性質及其暴漏的所有細節(jié)。
Sakura Samurai的研究人員杰克遜·亨利，尼克·薩勒，約翰·杰克遜和奧布里·科特爾在接觸過聯(lián)合國“脆弱性披露計劃”和“信息安全名人堂”后，著手尋找影響聯(lián)合國系統(tǒng)的任何安全漏洞。
然后，他們在與聯(lián)合國環(huán)境規(guī)劃署(UNEP)和聯(lián)合國國際勞工組織(ILO)相關的域名上發(fā)現(xiàn)了暴漏的Git目錄(. Git)和Git證書文件(. Git -credentials)。
研究人員能夠轉儲這些Git文件的內容，并使用git-dumper從* .ilo.org和* .unep.org域復制整個存儲庫。
.git目錄的內容包含敏感文件，例如WordPress配置文件(wp-config.php)，這些文件公開了管理員的數(shù)據(jù)庫憑據(jù)。
在聯(lián)合國網(wǎng)域的公開.git目錄中找到WordPress配置文件
同樣，作為數(shù)據(jù)泄漏的一部分，不同的PHP文件包含了與環(huán)境署和聯(lián)合國勞工組織其他在線系統(tǒng)相關的明文數(shù)據(jù)庫憑據(jù)。
此外，可公開訪問的.git-credentials文件使研究人員可以使用環(huán)境署的源代碼庫。
超過10萬名雇員的數(shù)據(jù)可能隨時被竊取
使用這些憑據(jù)，研究人員能夠從多個聯(lián)合國系統(tǒng)中竊取超過10萬名員工的私人信息。
該小組獲得的數(shù)據(jù)集公開了聯(lián)合國工作人員的旅行歷史，每行數(shù)據(jù)集包含：雇員ID，姓名，雇員組，旅行理由，開始和結束日期，批準狀態(tài)，目的地和停留時間。
研究人員提供的聯(lián)合國員工旅行記錄(超過10萬條記錄)
同樣，研究人員在分析過程中訪問的其他聯(lián)合國數(shù)據(jù)庫也公開了數(shù)千名員工的人力資源人口統(tǒng)計數(shù)據(jù)(國籍、性別、薪級)，項目資金來源記錄，廣義員工記錄和就業(yè)評估報告。
編輯了7000多名聯(lián)合國雇員的人力資源統(tǒng)計數(shù)據(jù)
Sakura Samurai表示：
| “當我們開始研究聯(lián)合國的網(wǎng)絡安全時，我們沒想到聯(lián)合國網(wǎng)站是如此脆弱。在幾個小時內，我們就得到了敏感數(shù)據(jù)，并發(fā)現(xiàn)了漏洞。總的來說，我們在不到24小時的時間里獲得了所有這些數(shù)據(jù)。我們總共發(fā)現(xiàn)了7對額外的證書，這可能導致多個數(shù)據(jù)庫的未授權訪問。當能夠訪問通過私有項目中通過數(shù)據(jù)庫備份公開的PII，我們決定停止并報告此漏洞?！?/td> |
攻擊者可能已經(jīng)訪問過這些數(shù)據(jù)
研究人員與BleepingComputer分享了一系列電子郵件，表明他們最初于2021年1月4日私下向聯(lián)合國報告了該漏洞。
聯(lián)合國信息和通信技術辦公室(OICT)最初承認了他們的報告，但之后又回復到：
| “報告的漏洞并不屬于聯(lián)合國秘書處，而是屬于國際勞工組織(International Labour Organization)。” |
最終，根據(jù)這些研究人員的反饋意見，環(huán)境署企業(yè)解決方案主管已立即采取措施修補漏洞，并且正在進行對該漏洞的影響評估。
眾所周知，聯(lián)合國多年來一直試圖修補其眾多的信息技術系統(tǒng)，全球各地的很多情報機構都很可能對侵入聯(lián)合國系統(tǒng)感興趣。
在2019年7月發(fā)起的一項目的明確的網(wǎng)絡攻擊活動中，黑客組織入侵了聯(lián)合國在日內瓦和維也納辦事處的IT系統(tǒng)。在事件發(fā)生之后聯(lián)合國并沒有立即公開本次攻擊事件，甚至沒有向員工披露該事件的性質和受影響范圍。直到2020年，聯(lián)合國IT部門的高級官員才對外證實遭到了非常復雜的網(wǎng)絡攻擊，預估已經(jīng)有400GB的數(shù)據(jù)被泄露。
本文翻譯自：
https://www.bleepingcomputer.com/news/security/united-nations-data-breach-exposed-over-100k-unep-staff-records/
文章名稱：聯(lián)合國數(shù)據(jù)泄漏事件：超過10萬條環(huán)境署工作人員的隱私被泄漏
標題URL：http://www.5511xx.com/article/cojeipj.html
