白帽黑客 Sharon Brizinov 利用 GitHub Archive 和 GitHub 事件 API，发现 GitHub 即使在开发者强制推送后也会保留被删除的提交。通过扫描 2020 年以来所有强制推送事件，他找到了价值 2.5 万美元的漏洞赏金。他与 Truffle Security 合作开源了一个工具 Force Push Scanner，帮助用户扫描其 GitHub 组织中隐藏的提交，查找泄露的密钥等敏感信息。这个故事说明了即使是看似被删除的提交也可能包含安全风险，强调了代码安全的重要性。
阅读更多
作者发现其Eight Sleep智能床垫存在严重安全漏洞：暴露的AWS密钥和允许Eight Sleep工程师远程SSH访问的后台程序。这意味着工程师可以随时访问床垫上的Linux系统，获取睡眠数据，甚至控制家庭网络上的其他设备。作者最终选择用廉价的水族箱冷却器替代Eight Sleep，获得了类似的温度控制功能，却避免了安全风险。这引发了对物联网设备安全性的担忧，以及对企业收集用户数据的伦理问题的思考。
阅读更多
一项新的研究发现，Google 的“使用 Google 登录”认证流程中存在一个严重漏洞，可能导致数百万美国人的数据被盗。该漏洞允许攻击者通过购买已倒闭创业公司的域名，重新创建前员工的电子邮件帐户，从而访问这些帐户关联的各种 SaaS 服务，包括包含敏感信息的 HR 系统和聊天平台。研究人员已将此问题报告给 Google，但 Google 最初将其标记为“不会修复”。在研究人员的 Shmoocon 演讲被接受后，Google 才重新开放了该问题，并支付了赏金。目前，Google 正在努力修复此问题，但在此之前，数百万账户仍然面临风险。
阅读更多
本文揭露了GitHub存在的数据安全风险：任何人均可访问已删除和私有仓库数据。文章分析了三种常见场景，包括从已删除分支获取数据、访问已删除仓库数据以及获取私有仓库数据，并指出这些问题源于GitHub的仓库网络架构设计。即使删除了仓库或分支，提交的数据也不会被真正删除，只要有一个分支存在，这些数据就永远存在。文章强调了密钥轮换对于保护敏感数据的重要性，并建议用户提高安全意识，警惕GitHub数据泄露风险。
阅读更多