发现该问题的安全研究公司表示，梅赛德斯-奔驰(Mercedes-Benz)在将私钥留在网上后，意外暴露了大量内部数据，该私钥可以“不受限制地访问”该公司的源代码。
RedHunt Labs的联合创始人兼首席技术官舒巴姆?米塔尔(Shubham Mittal)提醒TechCrunch注意这一曝光，并请求帮助向这家汽车制造商披露。这家总部位于伦敦的网络安全公司表示，今年1月，在一次例行互联网扫描中，它在GitHub的一个公共存储库中发现了一名梅赛德斯员工的身份验证令牌。
根据Mittal的说法，这个令牌——使用密码对GitHub进行身份验证的替代方案——可以授予任何人对梅赛德斯GitHub企业服务器的完全访问权限，从而允许下载公司的私有源代码存储库。
米塔尔在TechCrunch分享的一份报告中解释说:“GitHub令牌可以‘不受限制’和‘不受监控’地访问内部GitHub企业服务器上托管的整个源代码。”“这些存储库包括大量的知识产权……连接字符串、云访问密钥、蓝图、设计文档、(单点登录)密码、API密钥和其他关键的内部信息。”
米塔尔向TechCrunch提供了证据，证明暴露的存储库包含微软Azure和亚马逊网络服务(AWS)密钥、Postgres数据库和梅赛德斯的源代码。目前尚不清楚存储库中是否包含任何客户数据。
TechCrunch周一向梅赛德斯披露了这一安全问题。周三，梅赛德斯发言人Katja Liesenfeld证实，该公司“立即撤销了相应的API令牌并删除了公共存储库”。
Liesenfeld在给TechCrunch的一份声明中说:“我们可以确认，由于人为错误，内部源代码被发布在了GitHub的公共存储库上。”“我们的组织、产品和服务的安全是我们的首要任务之一。”
“我们将继续按照正常程序对此案进行分析。据此，我们实施补救措施。”Liesenfeld补充道。
目前尚不清楚除了米塔尔之外，是否还有其他人发现了这个暴露的密钥，该密钥于2023年9月底发布。
梅赛德斯拒绝透露它是否知道有第三方访问了暴露的数据，或者该公司是否有技术能力(如访问日志)来确定是否存在对其数据存储库的不当访问。该发言人援引了未指明的安全原因。
上周，TechCrunch独家报道称，现代汽车印度子公司修复了一个漏洞，该漏洞暴露了现代汽车印度客户的个人信息，包括姓名、邮寄地址、电子邮件地址和电话号码，这些客户在印度各地的现代汽车加油站进行了车辆维修。