Lovable AI tətbiqləri açıq bazalarda həssas məlumatları aşkar etdi

Almaniyalı təhlükəsizlik şirkəti Crissy Field-in tədqiqatçıları Lovable AI ilə hazırlanmış 159 041 layihəni skan edib və giriş tələb etməyən bazalarda həssas məlumatlar tapıblar. Açıq məlumatlar arasında pasport nömrələri, ödəniş məlumatları və 200 mindən çox chat mesajı olub. Tədqiqatçılar məlumat sızmasının səbəbini verilənlər bazasına giriş qaydalarının çatışmazlığı ilə əlaqələndirirlər, Lovable AI isə bunu Supabase istifadəçilərinə təsir edən tanınmış konfiqurasiya problemi adlandırır.

Tədqiqatçılar nə tapdılar

Crissy Field layihələri Common Crawl veb arxivindən götürərək onların bazalarının etimadnaməsi olmayan yad şəxsə nə qaytaracağını yoxlayıb. Supabase üzərində işləyən 34 545 layihədən 24 664-ü heç bir autentifikasiya tələb etmədən verilənlər bazası qeydlərini qaytarıb. 7 403 saytda, 10 500-dən çox cədvəldə e-poçt ünvanları oxunaqlı idi. Bir xidmət təminatçısının bazası vaxtı bitmə tarixləri və vətəndaşlıqları ilə 1 000-dən çox pasport qeydini açıq edib. Tədbir təşkilatçıları və restoranlar e-poçt, telefon nömrələri, poçt ünvanları, ödəniş məlumatları və bilet kodları ilə on minlərlə sifariş və bilet açıq edib. Həyat tərzi forumu 200 mindən çox chat mesajı və 80 000 istifadəçi profilini sızdırıb. Əmlak idarəetmə şirkəti kirayəçilər, əmlak sahibləri və iş partnyorları haqqında daxili e-məktubların AI ilə hazırlanmış xülasələrini açıq edib. Digər əlçatan məzmun on minlərlə müqavilə, faktura, şəxsi foto albomları və daxili WhatsApp ünsiyyətləri olub. Tədqiqatçılar hər saytın hər ziyarətçiyə təqdim etdiyi girişdən istifadə etdiklərini, yalnız oxuma sorğuları göndərdiklərini və səhifənin brauzerə verdiyi eyni açarı istifadə etdiklərini deyiblər.

Məlumatlar niyə açıq qaldı

Crissy Field bildirib ki, bir çox Lovable tətbiqi həssas məlumatları qorunmasız saxlayır və istifadəsi asan inkişaf platforması konfidensial məlumatlarla işləməzdən əvvəl giriş icazələrinin ekspert yoxlamasına ehtiyacı aradan qaldırmır. Zəifliklər Lovable AI platformasına edilən haker hücumundan deyil, backend verilənlər bazalarında konfiqurasiya edilməmiş və ya çatışmayan Row Level Security qaydalarından qaynaqlanır. Lovable AI qeyri-texniki istifadəçilərə sadə dil təlimatları ilə tez bir zamanda full-stack tətbiqlər yaratmağa imkan verdiyi üçün mühüm təhlükəsizlik yoxlamaları tez-tez buraxılır. Lovable AI sadə dildə yazılmış cümləni işlək veb tətbiqinə çevirir. Lovable AI-ın CEO-su Anton Osika bu həftə CNBC-yə deyib ki, süni intellekt biznesə başlama maneələrini azaldır.

Şirkətin cavabı və daha geniş kontekst

Lovable AI 2023-cü ildə Stokholmda qurulmuş İsveç AI startapıdır. Şirkət artıq 50 milyondan çox layihə təhvil verdiyini və həftədə 1,2 milyon yeni layihə hazırlandığını bildirir. Şirkət tədqiqatçıların nəticələrinə, həmçinin Alman iş qəzeti Handelsblatt-da dərc olunanlara cavab verərək, Supabase istifadəsi ətrafında tanınmış, sənaye miqyaslı konfiqurasiya problemi ilə məşğul olduqlarını deyib. Ayrı olaraq, təhlükəsizlik şirkəti UpGuard Supabase əlamətləri olan təxminən 300 000 domeni yoxlayıb və 16 326 bazada cədvəllərin xaricdən oxuna bildiyini aşkar edib. UpGuard-a görə, bu halların yarısından çoxunda şəxsi məlumat əlamətləri olub.

Mənbələr: Cybernews