Haber Özeti
Tam Sürüm
Güvenlik araştırması şirketi UpGuard Cyber Risk Cuma günü yaptığı açıklamada 100’den fazla üretim şirketinin gizli belgelerinin dışarıdan erişime açık bir sunucuda tutulduğunu söyledi. Aralarında General Mobile, Fiat Chrysler, Ford, Tesla, Toyota, ThyssenKrupp ve Volkswagen gibi markaların da bulunduğu üreticilerin belgeleri Level One Robotics‘e ait bir sunucuda yer alıyordu.
Halka açık veriler
Endüstriyel otomasyon hizmetleri sunan Level One Robotics’in sisteminde açık sayesinde ulaşılabilen belgeler sıkça kullanılan bir dosya transfer protokolü olan rsync üzerinden elde edildi. Güvenlik araştırmacıları, rsync sunucusuna kısıtlama getirilmediğini söylüyor. Yani rsync portuna erişimi olan herhangi bir rsync istemcisi bu verileri indirebilirdi. UpGuard Cyber Risk açığı nasıl keşfettiğini kendi hesabından gösterdi ve tedarik zincirindeki bir şirketin büyük şirketlerin sıkı güvenlik protokollerini nasıl işlevsiz hale getirebileceğini anlattı.
Bu açık keşfedilmeden önce, nereye bakacağını bilen birisi otomotiv üreticilerinin ticari sırlarına kolayca erişebilirdi. Herhangi bir kötü niyetli kişinin bu verilere erişip erişmediği bilinmiyor.
UpGuard’ın tüm bunlardan elde ettiği sonuç: rsync oluşumlarının IP adresiyle sınırlandırılması gerekiyor. Araştırmacılar ayrıca rsync’e kullanıcı erişiminin, istemciler veri setini almak istediğinde doğrulanacak şekilde ayarlanması gerektiğini söylüyor. Bu önlemler alınmadığı sürece rsync halka açık bir hizmet olarak kalıyor.
Şirketlerin sırları ortadaydı
Güvenlik açığı 157 gigabayt veriyi korunmasız bıraktı. Bu veriler arasında 10 yıllık üretim bandı şemaları, fabrika planları ve yerleşim çizimleri, robotik ayarlamalar ve belgeler, kimlik kartı talep formları, VPN erişimi talep formları bulunuyordu. Hatta aralarında Tesla’nın da bulunduğu, hassas ve kamuya açıklanmayacak anlaşmalar da yer alıyordu.
Belgeler arasında Level One çalışanlarının sürücü belgelerinin ve pasaportlarının taramaları ve Level One’a ait kontratlar ve hesap detayları da bulunuyordu.
Güvenlik ekibi açığı 1 Temmuz’da tespit etti. Level One’a 9 Temmuz’da başarıyla ulaşan şirket, açığın ertesi gün kapatıldığını söylüyor.
Kaynak: TechCrunch
Güvenlik araştırması şirketi UpGuard Cyber Risk Cuma günü yaptığı açıklamada 100'den fazla üretim şirketinin gizli belgelerinin, endüstriyel otomasyon hizmetleri sunan Level One Robotics'e ait dışarıdan erişime açık bir sunucuda tutulduğunu söyledi. Aralarında General Mobile, Fiat Chrysler, Ford, Tesla, Toyota, ThyssenKrupp ve Volkswagen gibi markaların da bulunduğu üreticilerin belgeleri arasında 10 yıllık üretim bandı şemaları, fabrika planları ve yerleşim çizimleri, robotik ayarlamalar ve belgeler, kimlik kartı talep formları, VPN erişimi talep formları bulunuyordu.
Yorum Ekle