Samsung: Jeder hatte Zugang zu vielen Quellcodes und Analysedaten

Eine Entwicklungsabteilung des Elektronikkonzerns Samsung Electronics hat quasi jedermann eingeladen, in den Quellcodes wichtiger Projekte herumzustöbern und auch eigene Beiträge zu hinterlassen. Von Industriespionage bis Sabotage wäre hier aufgrund der Nachlässigkeit der Administratoren so manches möglich gewesen. Das Problem wurde vom Sicherheitsforscher Mossab Hussein entdeckt, der für die in Dubai ansässige Firma SpiderSilk arbeitet. Laut diesem lag das Problem darin, dass Samsung-Entwickler mehrere Projekte auf einer internen GitLab-Instanz als Public konfiguriert hatten und auf dem genutzten Server kein Zugangsschutz eingerichtet war, berichtete das US-Magazin TechCrunch.

Auf diese Weise bekam man nicht nur freien Zugriff auf den Quellcode verschiedener Projekte, in denen die Entwickler-Teams an verschiedenen Software-Produkten wie der SmartThings-Plattform arbeiteten. So fanden sich in den gespeicherten Daten durchaus auch Zugangsdaten zu mehr als hundert Speicherinstanzen in der Amazon-Cloud wieder, auf denen Log-Dateien und Analyse-Daten von SmartThings- und Bixby-Anwendungen vorgehalten wurden.

Laut Samsung nicht schlimm

Insgesamt konnte der Sicherheitsforscher bei seinen Experimenten Zugriff zu 42 öffentlichen und 135 weiteren Projekten erhalten. Samsung hat das Problem inzwischen beseitig. Und man wiegelte ab und erklärte, es habe sich hier lediglich um ein Testsystem gehandelt, wodurch die Nachlässigkeit am Ende weniger tragisch wäre. Zumindest Manipulationen im Code hätten so nicht dazu führen können, dass Malware oder Backdoors ausgeliefert werden.

Allerdings ändert das nichts daran, dass zumindest wertvolle Informationen ausgespäht werden konnten. Denn zumindest in einem überprüften Fall fand sich auf der Plattform haargenau der gleiche Quellcode einer Android-App wieder, aus dem auch die Version kompiliert wurde, die kurz darauf im AppStore bereitgestellt wurde.

Siehe auch: Experte: Samsungs Android-Alternative Tizen ein Sicherheits-Alptraum Sicherheit, Security, passwort, Passwörter, Authentifizierung, password, Webauthn Pexels & CC0