আমরা Baseten-এর কাছে আমাদের ডেটা বিশ্বাস করতে যাচ্ছিলাম, তাই নিরাপত্তা নিশ্চিত করতে Strix চালালাম। প্রায় 25 মিনিট পরে, এটির কাছে Baseten-এর অভ্যন্তরীণ রিপোজিটরিতে রিপোজিটরি-স্তরের অ্যাডমিন অধিকারসহ একটি সক্রিয় GitHub টোকেন ছিল।

আমরা Strix তৈরি করি, একটি স্বায়ত্তশাসিত হ্যাকিং এজেন্ট, যার সস্তা এবং দ্রুত ইনফারেন্স প্রয়োজন। Baseten একটি দুর্দান্ত পণ্য, যার মূল্য ১৩ বিলিয়ন ডলার, এবং অনেক গুরুতর কোম্পানি তাদের উপর নির্ভর করে। কিন্তু একটি নিরাপত্তা কোম্পানি হিসেবে, আমরা ডেটা শেয়ার করার আগে ভেন্ডর স্ক্যান করি। আমরা ক্রেডেনশিয়াল ছাড়াই Strix-কে *.baseten.co-তে নির্দেশ করি। এটি basetenbot-এর জন্য একটি সক্রিয় GitHub ব্যক্তিগত অ্যাক্সেস টোকেন খুঁজে পেয়েছে, যার Baseten-এর প্রধান পণ্য রিপো, Git Ops রিপো, Homebrew tap-এ অ্যাডমিন এবং পুশ অ্যাক্সেস, এবং অন্যান্য ব্যক্তিগত রিপোজিটরিতে পড়া/লেখার অ্যাক্সেস রয়েছে। ইমেজ বিল্ডটি মার্চ 2023-এর, এবং টোকেনটি জুলাই 2026-এ এখনও কাজ করছিল।

Baseten-এর নিরাপত্তা দলকে কৃতিত্ব: তারা সমস্যাটিকে গুরুতর হিসেবে নিশ্চিত করেছে, রেজিস্ট্রি প্রকল্পটি লক ডাউন করেছে এবং পরের দিন বিকেলের মধ্যে টোকেনটি রোটেট করেছে।

Strix হোস্টগুলি গণনা করেছে এবং gcp-us-east4-zlw.registry.baseten.co-তে একটি Harbor রেজিস্ট্রি খুঁজে পেয়েছে। একটি পাবলিক প্রকল্প ইমেজের বেনামী পুলের অনুমতি দিয়েছে, যার মধ্যে baseten/baseten-app রয়েছে। Strix লেয়ারগুলি টেনেছে, TruffleHog চালিয়েছে এবং ইমেজ কনফিগে টোকেনটি খুঁজে পেয়েছে।

মূল সত্তা: কোম্পানি: Baseten, Strix, Harbor, TruffleHog | অবস্থান: gcp-us-east4-zlw.registry.baseten.co