[情報] M-Benz OLU 的源代碼在網站上洩漏

作者: Scape (non)   2020-05-19 14:27:33
來源:
https://zd.net/2zMVMaA
一名瑞士工程師Till Kottmann 發現,他透過google 搜索後找到了Mercedes
的GitLab 伺服器,他用假信箱註冊了個帳戶成功之後,他就下載了超過580
Git repositories,從中發現裡面有Mercedes 給他們的貨車(Vans) 用的OLU
(onboard logic units) 源代碼。
根據Mercedes 的網站說明,OLU 是一種汽車中界於硬體與軟體之間的組件,並
且可以將汽車與軟體雲連接起來,而主要的應用可以用在例如在路上行駛時追
蹤貨車、追蹤車輛的內部狀態、或者是在車輛被偷時將車輛停止。
而Git 是一種專門的軟體,用來追蹤源代碼的變更狀況,避免在多人編輯開發
同一份代碼時發生了不小心覆蓋掉別人工作的狀況。(只是簡介,詳情請自行查詢)
Kottmann 說,Daimler 並沒有確認帳號這道手續,他只是用了一個不存在的
Daimler 官方信箱就成功註冊帳號,然後就從公司伺服器中下載了超過580
Git repositories,他隨後將這些代碼公開,並上傳到了MEGA、Internet Archive、
還有他自己的GitLab server。
寫這篇報導的ZDNet 看了這些代碼,發現裡面並沒有開放許可證明,這表示這
些代碼並無意做為公開之用。而資安公司Under Breach 看了之後發現,裡面擁
有Daimler 內部的密碼以及API tokens,如果被有心人士拿到,可以被用來入
侵Daimler 軟體雲以及內部網路。
Daimler 發言人並沒有對這件事情發表正式的回應。
作者: nk950357 (nk950357)   2020-05-19 14:35:00
辛苦了 找其他家的新聞很辛苦齁
作者: Scape (non)   2020-05-19 14:37:00
不用找呀,他自己跳到twitter的最前面來給我看有什麼辦法
作者: SA01 (Desire)   2020-05-19 15:08:00
持續崩潰喔... 特粉真棒
作者: xhung (xhung)   2020-05-19 16:12:00
是"580 Git repositories" 沒有當單位的啦...
作者: tony24334 (阿賴是你)   2020-05-19 16:23:00
這哪門子單位XDDDDD
作者: nk950357 (nk950357)   2020-05-19 16:39:00
完了 不是本系生一直裝逼 前面cert出糗 這次repo出糗你沒回答我啊?內文是說藍芽不管網路怎樣都可以用啊?那你要用哪個網站的資料佐證你的論點?更何況不是app當機 而是cert過期導致api無法連線 所以才不能用app解鎖車子好嗎w嘛 就去上一篇解釋啊 我們都還在等大師的見解呢~
作者: ststLiang (Liang)   2020-05-19 16:59:00
又來了 大家一起來比爛公司資安的問題跟車子本身的設計問題是兩回事不該被你看到的東西被看到是一回事你看到了又能如何是另外一件事車子系統設計又是另外一件事怎麼有辦法把一堆不相干的事也混在一起你回嘴不就在講特斯拉這的確跟特斯拉的事一點關係也沒有這是公司資安的問題你敢說你寫這篇跟特斯拉無關?哈哈你的原始動機
作者: nk950357 (nk950357)   2020-05-19 17:14:00
?所以是哪裡提到藍芽必須要在更改時間的情況下使用 可以作證一下嗎?內文從頭到尾都說沒有網路也能用藍芽解鎖喔 那請問這根調整時間有什麼關係?我用我的證據來作證我說cert過期是對的 所以要調整時間來連結 你的呢?
作者: ststLiang (Liang)   2020-05-19 17:21:00
當然不是你肚子裡的蛔蟲當然你可以否認承認,你的自由我是覺得這篇扯遠了這是公司資安的問題既然你堅定發這篇文跟特無關,你要不要對這篇新聞發表一些看法?想必你的見解一定也跟特無關我個人只覺得這個公司的IT該被火掉
作者: nk950357 (nk950357)   2020-05-19 17:49:00
「App域名過期」 「需要緊急連結調整到5/11」 這兩件事情再說明目前網路不能連結 需要的話請改道5/11「網路不能連結不影響藍芽功能」 所以是我中文有問題還是你邏輯不好?所以你前一篇一直說域名過期只是猜測然後現在說這是官方客服的你就可以相信 看來你也是只會耍嘴皮嘛
作者: capitalofz   2020-05-19 21:03:00
原始碼啦

Links booklink

Contact Us: admin [ a t ] ucptt.com