2025/12/13 3:23
Home Depot GitHub token exposed for a year, granted access to internal systems
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
要約：
2024年11月初旬、ホームデポ（Home Depot）の従業員が誤ってGitHubにアクセス・トークンを投稿し、約1年間公開状態のままでした。このトークンは数百件のプライベートリポジトリと重要なクラウドインフラ（注文処理、在庫管理、コード開発パイプラインなど）への完全な読み取り/書き込み権限を持ち、攻撃者が会社のコードベースやシステムを閲覧・改ざんできる状態にしました。セキュリティ研究者は何度もこの漏洩をホームデポ（CISOのクリス・ランジロッタ氏へのLinkedIn連絡を含む）に報告したものの、返答はありませんでした。TechCrunchが12月5日に問い合わせた際、発表担当者はメールを受領したと認めましたがコメントはありませんでした。検知後、トークンは削除されアクセス権も取り消されました。この事件はホームデポに正式な脆弱性開示・バグ報奨金プログラムがないことを浮き彫りにし、こうしたインシデントの迅速な対処について懸念を呼び起こし、今後の内部レビューや方針更新による再発防止策の検討を促しています。
本文
安全リサーチャーによると、ホームデポは従業員の一人が誤って公開したプライベートアクセス・トークンを介して内部システムへのアクセスを1年間も許可したままであったとのことです。
調査者はその露出トークンを発見し、ホームデポに対して個別に安全性の欠陥を通知しようと試みましたが、数週間にわたり無視されていました。
TechCrunch が同社代表者へ連絡したことで、今回の漏えいは修正されました。
背景
- 11月初旬、ベン・ジマーマン氏は、2024年初めに公開されたホームデポ従業員の GitHub アクセス・トークンを発見しました。
- トークンをテストしたところ、数百件にわたるプライベートなホームデポのソースコードリポジトリへアクセスでき、内容の変更も可能でした。
- さらにそのキーは、注文処理や在庫管理システム、コード開発パイプラインなど、同社のクラウドインフラ全体へのアクセスを許可していました。
ホームデポは2015年から GitHub 上に多くの開発・エンジニアリングインフラをホストしています（GitHub の顧客プロフィールによる）。
通知試み
- ジマーマン氏は数件のメールをホームデポへ送ったものの、返答がありませんでした。
- さらに LinkedIn を通じて情報セキュリティ担当 CISO のクリス・ランジロッタ氏に連絡しましたが、こちらも返信なし。
- 同氏は過去数か月で同様の露出を報告したところ、ほとんどの企業から感謝の返事があったと語ります。「ホームデポだけが私を無視した」と述べています。
ホームデポには脆弱性開示やバグバウンティプログラムがないため、ジマーマン氏は問題解決のため TechCrunch に託しました。
TechCrunch のアプローチ
- 12月5日、ホームデポ広報担当者ジョージ・レーン氏にメールを送ると、受領は確認したものの、その後のコメント要請には応じませんでした。
- 露出していたトークンはすでにオフラインになり、アクセス権も解除されています。
- 私たちはレーン氏に、トークンが有効だった期間中に他者が利用したかどうかを調査できるか尋ねましたが、返答はありませんでした。
連絡先
TechCrunch のセキュリティ編集長で This Week in Security の著者でもあるザック・ウィッタカー氏へは、Signal の暗号化メッセージ zackwhittaker.1337 か、メール zack.whittaker@techcrunch.com からご連絡ください。