Secrets-Exposure

นาย Ben Zimmermann สแกน repo สาธารณะบน Gitee แพลตฟอร์มโค้ดของจีน 7.25 ล้าน repo แล้วพบคีย์และรหัสยืนยันตัวตนที่ยังใช้ได้จริง 26,400 ชุด นำโดยคีย์ Alibaba Cloud 9,473 คู่ ตามด้วย YouTube, DeepSeek, Zhipu BigModel และ OpenAI เครื่องมือไล่อ่านประวัติ commit ทั้งหมด คีย์ที่ลบออกจากโค้ดไปแล้วจึงยังถูกพบ เขาแจ้งผู้ให้บริการแต่ไม่ได้แจ้งนักพัฒนา และยังไม่ยืนยันว่าคีย์ถูกเพิกถอน ใครเคย push คีย์ขึ้น Gitee ควรถือว่าคีย์รั่วแล้วและเพิกถอนที่ผู้ให้บริการทันที

Wiz เปิดโปง Gheist แคมเปญอัตโนมัติที่ใช้ GitHub token ที่ขโมยมาจาก 850 บัญชีสร้าง branch กว่า 13,500 อัน เพื่อรัน workflow พิมพ์ secret ทุกตัวของ repo ลงล็อก GitHub Actions แบบเข้ารหัส base32 จนหลุดการปิดบัง แล้วดาวน์โหลดล็อกและลบรันทิ้ง ระบบกักรันน่าสงสัยของ GitHub หยุดได้ทุกรันใน repo สาธารณะ แต่ไม่คุ้มครอง repo ส่วนตัวและ GitHub Enterprise Server ซึ่งถูกดูดสำเร็จ ยังไม่ทราบว่ามีกี่องค์กรที่ secret รั่ว ผู้ดูแลควรค้นหา branch ชื่อ ci-sync- แล้วเปลี่ยน secret ทั้งหมดและเพิกถอน token ที่ใช้ push