#خبر #اخبار
🔴 حفره امنیتی در DeepSeek AI باعث افشای پایگاه داده شد: بیش از 1 میلیون لاین لاگ و api key های و کلی اطلاعات دیگر
📌 استارت‌آپ هوش مصنوعی چینی (AI) DeepSeek که در روزهای اخیر محبوبیت زیادی داشته است، یکی از پایگاه‌های داده خود را در اینترنت در معرض دید قرار داد که می‌توانست به عوامل مخرب اجازه دهد به داده‌های حساس دسترسی پیدا کنند.
📌 گال ناگلی (Gal Nagli)، محقق امنیتی شرکت Wiz، گفت: پایگاه داده ClickHouse "به کنترل کامل عملیات پایگاه داده، از جمله امکان دسترسی به داده های داخلی اجازه می دهد."
❗️ این قرارگیری همچنین شامل بیش از یک میلیون خط جریان گزارش شامل تاریخچه چت، کلیدهای مخفی، جزئیات سمت بک اند و سایر اطلاعات بسیار حساس، مانند کلید های مخفی API و متا دیتا های عملیاتی است.
⚠️ گفته می شود که پایگاه داده، میزبانی شده در oauth2callback.deepseek.com:9000 و dev.deepseek.com:9000، دسترسی غیرمجاز به طیف وسیعی از اطلاعات را فعال کرده است. Wiz خاطرنشان کرد که قرار گرفتن در معرض، امکان کنترل کامل پایگاه داده و افزایش امتیازات احتمالی را در محیط DeepSeek بدون نیاز به هیچ گونه احراز هویت فراهم می کند. این شامل استفاده از رابط HTTP ClickHouse برای اجرای درخواست های SQL دلخواه مستقیماً از طریق مرورگر وب بود. در حال حاضر مشخص نیست که آیا سایر عوامل مخرب از این فرصت برای دسترسی یا دانلود داده ها استفاده کرده اند یا خیر.
🛡 درحال حاضر این حفره امنیتی رفع شده است
ℹ️ بلاگ/رایتاپ کامل این موضوع را میتوانید از لینک زیر مشاهده کنید :
📎 https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
📣 @Vip_Security
🌐 www.VipSecurity.zone
🔴 حفره امنیتی در DeepSeek AI باعث افشای پایگاه داده شد: بیش از 1 میلیون لاین لاگ و api key های و کلی اطلاعات دیگر
📌 استارت‌آپ هوش مصنوعی چینی (AI) DeepSeek که در روزهای اخیر محبوبیت زیادی داشته است، یکی از پایگاه‌های داده خود را در اینترنت در معرض دید قرار داد که می‌توانست به عوامل مخرب اجازه دهد به داده‌های حساس دسترسی پیدا کنند.
📌 گال ناگلی (Gal Nagli)، محقق امنیتی شرکت Wiz، گفت: پایگاه داده ClickHouse "به کنترل کامل عملیات پایگاه داده، از جمله امکان دسترسی به داده های داخلی اجازه می دهد."
❗️ این قرارگیری همچنین شامل بیش از یک میلیون خط جریان گزارش شامل تاریخچه چت، کلیدهای مخفی، جزئیات سمت بک اند و سایر اطلاعات بسیار حساس، مانند کلید های مخفی API و متا دیتا های عملیاتی است.
⚠️ گفته می شود که پایگاه داده، میزبانی شده در oauth2callback.deepseek.com:9000 و dev.deepseek.com:9000، دسترسی غیرمجاز به طیف وسیعی از اطلاعات را فعال کرده است. Wiz خاطرنشان کرد که قرار گرفتن در معرض، امکان کنترل کامل پایگاه داده و افزایش امتیازات احتمالی را در محیط DeepSeek بدون نیاز به هیچ گونه احراز هویت فراهم می کند. این شامل استفاده از رابط HTTP ClickHouse برای اجرای درخواست های SQL دلخواه مستقیماً از طریق مرورگر وب بود. در حال حاضر مشخص نیست که آیا سایر عوامل مخرب از این فرصت برای دسترسی یا دانلود داده ها استفاده کرده اند یا خیر.
🛡 درحال حاضر این حفره امنیتی رفع شده است
ℹ️ بلاگ/رایتاپ کامل این موضوع را میتوانید از لینک زیر مشاهده کنید :
📎 https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak
📣 @Vip_Security
🌐 www.VipSecurity.zone