Grok Build kodlaşdırma aləti 35 578 tətbiqi girişsiz açıq qoyub

    Elon Musk-ın “SpaceX” və “xAI” şirkətlərinin birləşməsindən yaranan “SpaceXSI” şirkətinin “Grok Build” kodlaşdırma alətində ciddi təhlükəsizlik boşluğu tapılıb. İstifadəçinin söhbət formasında yazdığı təsvirə əsasən veb tətbiq hazırlayan xidmət minlərlə layihəni internetdə açıq qoyub. Nəticədə biznes sənədləri, tibbi məlumatlar və şifrələr kənar şəxslər üçün əlçatan olub. Problem tətbiqlərin standart paylaşım qaydası və ünvanların asan tapılması ilə bağlıdır.

    “Grok Build” yayımlanan hər tətbiq üçün 4 təsadüfi sözdən ibarət “grok.me” ünvanı yaradırdı. Bu sözlər ünvanın əvvəlində yazıldığı üçün internet ünvanlarını qeydə alan passiv DNS xidmətləri onları siyahıya sala bilirdi. Təhlükəsizlik mütəxəssisləri bu üsulla 43 601 ünvan müəyyən edib. Ünvanlar təsadüfi yaradılsa da, açıq bazalarda tapılırdı. Buna görə keçidi heç kimlə paylaşmamaq tətbiqin gizli qalması demək deyildi.

    Yoxlama zamanı 35 578 tətbiqin hesaba giriş etmədən açıldığı məlum olub. Araşdırmada bu göstərici 94,7 faiz kimi göstərilib. Xidmətdə 3 paylaşım seçimi vardı: keçidi olan hər kəs, dəvət edilən istifadəçilər və yalnız tətbiqin sahibi. Standart seçim isə keçidi olan hər kəsə açıq giriş verirdi. Təxminən hər 10 tətbiqdən 1-də daxili məlumat tapılıb. Tətbiqlərin 2 faizində yüksək və ya kritik təhlükə yaradan material olub.

    Açıq qalan məlumatlar arasında 3500-dən çox adı əhatə edən xəstəxana əməkdaşları siyahısı və reanimasiyadakı xəstələrə aid sənəd olub. Yanğınsöndürmə qurumunun əməkdaş məlumatları və yükdaşıma şirkətinin 1000-dən çox şəxsi əhatə edən işə qəbul bazası da sızıb. Başqa bir sənədin endirilə bilən kodunda adi mətnlə yazılmış 18 hesab şifrəsi tapılıb. Bunların arasında administrator hesablarının giriş məlumatları da olub.

    “SpaceXSI” daxilində hazırlanmış 24 açıq tətbiqdə işə başlama planları, əməkdaş siyahıları və 594 strateji hesabın satış xəritəsi aşkarlanıb. Sızan materiallara 8 reklam təklifi və 4 aktiv reklamçı hesabının idarəetmə paneli daxil idi. Həmçinin “X” brend təhlükəsizliyi təlimatının 2 nüsxəsi və 7 kampaniya hesabatı açıq qalıb. ABŞ-nin federal qurumlarından biri üçün hazırlanmış büdcəli reklam sənədi məxfi kimi işarələnmişdi. Tapılan tətbiqlərdən yalnız 1-i istifadəçidən şifrə istəyirdi.

    Sızan məlumatlar yalnız kiçik qurumlara aid olmayıb. Zərərçəkənlər arasında “Fortune 500” siyahısındakı 6 şirkət və 1000-dən çox əməkdaşı olan 26 təşkilat olub. Mütəxəssislərin hazırladığı 2 sınaq tətbiqindən birində hesaba giriş etməyən şəxs ortaq əlaqə bazasını dəyişə bilib. Digərində istənilən “Google” hesabı komanda üzvü olmadan avtomatik giriş əldə edib.

    Tədqiqatçılar təhlükəsizlik boşluğu barədə “SpaceXSI” şirkətini 8 noyabrda xəbərdar ediblər. “X” platformasında Elon Musk və digər rəhbərlər işarələndikdən sonra şirkət addım atıb. O, özünə aid 24 tətbiqi 2 gün ərzində bağlayıb və digər açıq tətbiqlərin sahiblərinə ayrıca xəbərdarlıq göndərməyə başlayıb. Lakin araşdırma yayımlananda başqa istifadəçi və təşkilatların bəzi tətbiqləri hələ də açıq idi.