[情报] M-Benz OLU 的源代码在网站上泄漏

楼主: Scape (non)   2020-05-19 14:27:33
来源:
https://zd.net/2zMVMaA
一名瑞士工程师Till Kottmann 发现,他透过google 搜索后找到了Mercedes
的GitLab 服务器,他用假信箱注册了个帐户成功之后,他就下载了超过580
Git repositories,从中发现里面有Mercedes 给他们的货车(Vans) 用的OLU
(onboard logic units) 源代码。
根据Mercedes 的网站说明,OLU 是一种汽车中界于硬件与软件之间的组件,并
且可以将汽车与软件云连接起来,而主要的应用可以用在例如在路上行驶时追
踪货车、追踪车辆的内部状态、或者是在车辆被偷时将车辆停止。
而Git 是一种专门的软件,用来追踪源代码的变更状况,避免在多人编辑开发
同一份代码时发生了不小心覆蓋掉别人工作的状况。(只是简介,详情请自行查询)
Kottmann 说,Daimler 并没有确认帐号这道手续,他只是用了一个不存在的
Daimler 官方信箱就成功注册帐号,然后就从公司服务器中下载了超过580
Git repositories,他随后将这些代码公开,并上传到了MEGA、Internet Archive、
还有他自己的GitLab server。
写这篇报导的ZDNet 看了这些代码,发现里面并没有开放许可证明,这表示这
些代码并无意做为公开之用。而资安公司Under Breach 看了之后发现,里面拥
有Daimler 内部的密码以及API tokens,如果被有心人士拿到,可以被用来入
侵Daimler 软件云以及内部网络。
Daimler 发言人并没有对这件事情发表正式的回应。
作者: nk950357 (nk950357)   2020-05-19 14:35:00
辛苦了 找其他家的新闻很辛苦齁
楼主: Scape (non)   2020-05-19 14:37:00
不用找呀,他自己跳到twitter的最前面来给我看有什么办法
作者: SA01 (Desire)   2020-05-19 15:08:00
持续崩溃喔... 特粉真棒
作者: xhung (xhung)   2020-05-19 16:12:00
是"580 Git repositories" 没有当单位的啦...
作者: tony24334 (阿赖是你)   2020-05-19 16:23:00
这哪门子单位XDDDDD
作者: nk950357 (nk950357)   2020-05-19 16:39:00
完了 不是本系生一直装逼 前面cert出糗 这次repo出糗你没回答我啊?内文是说蓝芽不管网络怎样都可以用啊?那你要用哪个网站的资料佐证你的论点?更何况不是app当机 而是cert过期导致api无法连线 所以才不能用app解锁车子好吗w嘛 就去上一篇解释啊 我们都还在等大师的见解呢~
作者: ststLiang (Liang)   2020-05-19 16:59:00
又来了 大家一起来比烂公司资安的问题跟车子本身的设计问题是两回事不该被你看到的东西被看到是一回事你看到了又能如何是另外一件事车子系统设计又是另外一件事怎么有办法把一堆不相干的事也混在一起你回嘴不就在讲特斯拉这的确跟特斯拉的事一点关系也没有这是公司资安的问题你敢说你写这篇跟特斯拉无关?哈哈你的原始动机
作者: nk950357 (nk950357)   2020-05-19 17:14:00
?所以是哪里提到蓝芽必须要在更改时间的情况下使用 可以作证一下吗?内文从头到尾都说没有网络也能用蓝芽解锁喔 那请问这根调整时间有什么关系?我用我的证据来作证我说cert过期是对的 所以要调整时间来连结 你的呢?
作者: ststLiang (Liang)   2020-05-19 17:21:00
当然不是你肚子里的蛔虫当然你可以否认承认,你的自由我是觉得这篇扯远了这是公司资安的问题既然你坚定发这篇文跟特无关,你要不要对这篇新闻发表一些看法?想必你的见解一定也跟特无关我个人只觉得这个公司的IT该被火掉
作者: nk950357 (nk950357)   2020-05-19 17:49:00
“App域名过期” “需要紧急连结调整到5/11” 这两件事情再说明目前网络不能连结 需要的话请改道5/11“网络不能连结不影响蓝芽功能” 所以是我中文有问题还是你逻辑不好?所以你前一篇一直说域名过期只是猜测然后现在说这是官方客服的你就可以相信 看来你也是只会耍嘴皮嘛
作者: capitalofz   2020-05-19 21:03:00
原始码啦

Links booklink

Contact Us: admin [ a t ] ucptt.com