Сервер, который собирает код, оказался входной дверью нараспашку
Сервер, который собирает код, оказался входной дверью нараспашку Заметил на днях: критическая дыра в популярной системе автосборки кода позволяла обойти вход и подменить программу прямо перед выпуском. Похожую историю я разбирал полгода назад у одной студии разработки. У них был отдельный сервер, который сам собирал обновления для сайтов клиентов и выкладывал их в работу — без участия человека. Удобно: разработчик закинул код, через пять минут обновление уже у заказчика. Но этот сервер смотрел прямо в интернет, а вход в него защищал только логин-пароль, который не меняли года три. Тот, кто получает доступ к серверу сборки, получает не один сайт — он получает возможность подложить свой код во все проекты, которые через этот сервер проходят. Если бы кто-то подменил код перед выпуском, это заметили бы не сразу — обновление выглядело бы обычным. А среди клиентов студии был интернет-магазин с оплатой картой на сайте. Утечка данных покупателей и разрыв контракта обошлись бы в сумму, сравнимую с годовым доходом студии от этого клиента. Закрыли за один день: убрали сервер из открытого доступа, поставили вход по коду из приложения на телефон и настроили уведомление руководителю, если кто-то пытается зайти извне. Работа стоила в разы дешевле одного расторгнутого договора. Обычно взламывают не сайт, а то, что этот сайт делает. Проверьте, кто и как заходит на сервер, где собирается ваш код. У вас есть отдельный сервер для сборки или выпуска обновлений — и вы уверены, что он не торчит наружу? #devops #уязвимость #разработка #ib Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram