關(guān)鍵詞

內(nèi)網(wǎng)滲透

一位研究人員分析了面向互聯(lián)網(wǎng)的Perforce P4服務(wù)器，發(fā)現(xiàn)其中許多仍配置不當(dāng)，暴露了高度敏感信息。

Perforce P4（前身為Helix Core）是一個集中式版本控制平臺，旨在滿足AAA級游戲和半導(dǎo)體設(shè)計(jì)等行業(yè)的海量數(shù)據(jù)需求。雖然P4發(fā)揮著重要作用，但如果未加保護(hù)，它對威脅行為者可能極具價(jià)值。

澳大利亞安全研究員摩根·羅伯遜在2025年春季對暴露在互聯(lián)網(wǎng)上的Perforce服務(wù)器進(jìn)行了一項(xiàng)分析，發(fā)現(xiàn)了6122個實(shí)例。

在這些服務(wù)器中，72%通過一個默認(rèn)啟用的遠(yuǎn)程用戶賬戶，提供了對源代碼的未經(jīng)認(rèn)證的只讀訪問。此外，21%的實(shí)例至少有一個賬戶未設(shè)置密碼，從而允許直接的讀寫訪問。

羅伯遜當(dāng)時(shí)還發(fā)現(xiàn)，4%的服務(wù)器存在一個未受保護(hù)的"超級用戶"賬戶，可通過命令注入實(shí)現(xiàn)完全的系統(tǒng)入侵。

研究人員還發(fā)現(xiàn)，絕大多數(shù)系統(tǒng)默認(rèn)允許用戶枚舉并暴露服務(wù)器信息。

羅伯遜表示，一些未受保護(hù)的系統(tǒng)屬于AAA級和獨(dú)立游戲開發(fā)商、大學(xué)、動畫工作室、互動媒體公司、加密貨幣項(xiàng)目以及制造商。

研究員于周二公布了他的發(fā)現(xiàn)，并告訴SecurityWeek，在最初發(fā)現(xiàn)的6122個公共服務(wù)器中，仍有2826個在其原始IP地址上處于活躍狀態(tài)。

其中，1525個（約占54%）仍然允許通過遠(yuǎn)程用戶賬戶對源代碼進(jìn)行未經(jīng)認(rèn)證的只讀訪問。此外，501個實(shí)例（占活躍服務(wù)器的17%）仍然允許完全未經(jīng)認(rèn)證的用戶枚舉。

羅伯遜告訴SecurityWeek，一些受影響的服務(wù)器似乎屬于大型組織，包括一家地區(qū)性國防承包商、幾家醫(yī)療技術(shù)提供商、一家北美執(zhí)法軟件供應(yīng)商、一家國際工業(yè)自動化公司、一家北美商用電動汽車初創(chuàng)公司、一家亞洲零售POS和ERP軟件供應(yīng)商，以及一家銀行軟件制造商。

與這些公司相關(guān)的服務(wù)器暴露了高度敏感的信息，包括客戶信息、內(nèi)部項(xiàng)目、個人信息、憑證、源代碼和產(chǎn)品原理圖。

研究員指出，他分享的數(shù)字僅反映公開暴露的基礎(chǔ)設(shè)施。

"大量Perforce服務(wù)器嚴(yán)格部署在內(nèi)網(wǎng)，但采用了完全相同的不安全默認(rèn)設(shè)置，"羅伯遜解釋道。"這意味著任何惡意行為者、內(nèi)部威脅或紅隊(duì)，只要在企業(yè)網(wǎng)絡(luò)上獲得立足點(diǎn)，就可能有一條直接路徑來訪問關(guān)鍵知識產(chǎn)權(quán)，或通過這些系統(tǒng)提升權(quán)限。"

大約一年前，Perforce公司收到了這些發(fā)現(xiàn)的通知，并迅速采取行動，默認(rèn)禁用了遠(yuǎn)程用戶，并更新了其文檔以增強(qiáng)安全性。

"P4受到全球一些最具安全意識團(tuán)隊(duì)的信任，用于管理和保護(hù)他們最有價(jià)值的知識產(chǎn)權(quán)：源代碼和二進(jìn)制資產(chǎn)。然而，與任何先進(jìn)系統(tǒng)一樣，其有效性在很大程度上依賴于正確的配置和維護(hù)，"Perforce在2025年5月的一篇博客文章中說。

文章補(bǔ)充道："任何處于寬松狀態(tài)的服務(wù)器，隨著時(shí)間的推移都可能造成安全衛(wèi)生方面的疏漏，并帶來重大風(fēng)險(xiǎn)。與任何連接到互聯(lián)網(wǎng)的服務(wù)器一樣，您應(yīng)該假設(shè)您的P4服務(wù)器最終會被攻擊者測試。"

除了通知Perforce公司，羅伯遜還聯(lián)系了60多家受影響組織，警告他們存在暴露風(fēng)險(xiǎn)。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個贊

支持「安全圈」就點(diǎn)個三連吧！