а дальше это позволило проверить «неужели они .git папку в свободном доступе держат?» — и таки да! это п***а #1
далее в папке конфига В ОТКРЫТУЮ красуются логин + пароль + auth = это п***а #2
не хочу даже тыкать носом в откровенное говно, что в 2021г кто-то еще использует ПАРОЛЬ в текстовой версии вместо токена..
+я на 99.99% уверен, что большинство вашей текущей команды — это вайтишники, СЛУЧАЙНО получившие должностя после окончания ссаных курсов. Ведь про такую же уязвимость мы публиковали материал еще в 2016году.
без проблем скачивается незащищенный .git-репозиторий — ну а хули, может это специальные дополнительные материалы к грядущей презентации мега-проекта от топовых специалистов формошлепов предоставленных Ассоциацией IT Ukraine.
содержимое репо:
скажите, зачем вам для этого простого лендинга использовать Kubernetes ??? Кто до такого додумался или кто эту дичь протолкнул в команде?
Вот вам, почитайте на досуге
остаточные файлы которые удалили, но их можно восстановить:
в общем дальше ПРЕДОСТАВЛЕННЫЕ креды с логином и паролем можно было бы использовать для отправки НОВЫХ КОММИТОВ, а также для вытаскивания всего остального что на гитлабе. Благо адрес гитлаба и нужный порт тоже лежали в открытую! Браво! ВОЗМОЖНО там где-то глубоко в аналлах таилась двух-факторная аутентификация, но мы не проверяли. Профессионалам уже б и найденной инфы хватило, чтобы защеку надавать всем вашим девопс ‘спецам’.
Хронология событий:
30.03.2021 — анонимное письмо с находкой приходит на
info@ebanoe.it31.03.2021 в 23:05 — мы сообщаем об уязвимости В ДЕТАЛЯХ на соответствующий секьюрити имейл
security@diia.gov.ua и
hello@thedigital.gov.ua (контактный имейл МинЦифры)
01.04.2021: — 11:00, спустя 12 часов никаких ответов или приветов, дыра всё еще не открыта
14:45 — мы уже даже на Facebook пытаемся достучаться до них, чтобы обратили внимание
17:00 — получаем ответ с
hello@thedigital.gov.uaДоброго дня!
Зверніться в службу підтримки Дія в чат бот або на електронну
support@thedigital.gov.uaну охуеть ведь! им на блюдечке приносишь багхант и говоришь «ваши проекты утекают в сеть!», а они такие «обратитесь в службу технической поддержки!» это п***а #3 !
Дорогие мои, при поступлении информации что вашу систему ебут или могут выебать — любой ваш паршивый имейл-клерк просто ОБЯЗАН БИТЬ В КОЛОКОЛА И сообщать верхушке об этом, а не перекладывать усилия по коммуникации на того кто вам сообщает о вашем проебе. Это кому надо больше?
17:10 — форвардим письмо на
support@thedigital.gov.ua, дыра все еще не прикрыта.
22:00 — спустя СУТКИ б***ь! получаем сухой ответ от
security@diia.gov.ua 
