联合国环境规划署暴露10万条员工记录和超过4000个项目信息
作者:星期四, 一月 14, 20210

拥有Sakura Samurai的安全研究人员在联合国环境规划署(UNEP)子域中识别了公开的GitHub凭据,从而使他们可以访问大量数据,包括100,000多个员工记录(下图)。

近日Sakura Samurai的安全人员在研究联合国漏洞披露计划范围内的资产安全漏洞时,发现了一个ilo.org子域,该子域暴露了大量Git账户信息。

泄露的信息可使非授权访问者接管一个SQL数据库,并在国际劳工组织的调查管理平台上执行账户接管。尽管存在严重漏洞,但是这两个资产已经被废弃,没有什么有用数据。

但是,进一步探查后,研究人员成功进入了一个泄露GitHub凭证的UNEP子域,能够访问和下载“很多受密码保护的私有GitHub项目”。

Sakura Samurai指出,这些项目包含多个数据库以及环境署生产环境的应用程序凭证。总计核实了7个凭证对,从而提供了对更多数据库的未授权访问。

研究者在其中一份文件中,确定了两份包含102,000份员工差旅记录的文档。这些记录包括姓名、员工ID号、员工组、旅行理由、旅行的开始和结束日期、批准状态、停留时间和目的地。

研究人员还发现了两个文档,其中一个包含7,000多个人力资源国籍人口统计记录(上图),包括员工姓名和组、ID号、员工的国籍和性别、员工薪资等级以及工作单位标识号和单位文本标签。另一个文档中找到了1,000多个通用员工记录,包括编号、员工姓名和电子邮件以及员工工作子区域。

另一份文件披露了超过4,000个项目和资金来源记录(上图),包括受影响的地区、赠款和联合融资金额、资金来源、项目标识号、执行机构、国家、项目期限和批准状态。包含评估报告的文档里有关283个项目的信息,包括评估和报告的总体描述、评估进行的时期以及报告的链接。


相关文章