تطبيق Confluence الذي جاء ومعه كلمة مرور
تثبيت تطبيق واحد من Atlassian يُنشئ حسابًا بكلمة مرور ثابتة، وهذه الكلمة صارت علنية. افحص نظامك.
الأسبوع الماضي حذّرت Atlassian من أن تطبيق Questions for Confluence، عند تثبيته على Confluence Server أو Data Center، يُنشئ مستخدمًا اسمه disabledsystemuser بكلمة مرور ثابتة في الكود. وبعد أيام نُشرت كلمة المرور علنًا. أي شخص يعرفها يستطيع الدخول وقراءة ما يراه ذلك الحساب.
إن كنت تستخدم التطبيق، فاتبع نشرة Atlassian: حدّث التطبيق، وعطّل ذلك الحساب أو احذفه. إزالة التطبيق وحدها لا تكفي؛ الحساب يبقى.
الدرس الأوسع: المورّدون ما زالوا يشحنون حسابات مخفية أو ثابتة، في التطبيقات والأجهزة والكاميرات والراوترات. طرق اكتشافها:
- راجع قوائم المستخدمين بعد تثبيت أي شيء، خصوصًا الإضافات. ابحث عن حسابات لم ينشئها أحد.
- افحص حسابات الخدمة والنظام بانتظام، لا حسابات الأشخاص فقط.
- حدّد ما يراه أي حساب منفرد، ليكشف الحساب المسرّب أقل.
- في كودك أنت: لا كلمات مرور افتراضية. اشترط كلمة فريدة عند الإعداد.
كلمة مرور تأتي مع المنتج كلمة مرور سيعرفها الإنترنت كله في النهاية.