BMW-Sicherheitslücke legt vertrauliche Unternehmensinformationen offen

Die Offenlegung des BMW-Cloud-Speichers im Februar 2024 ist ein Vorfall im Zusammenhang mit der Verwaltung von Secrets und der Kontrolle öffentlicher Buckets, kein Verstoß gegen Kundendaten. TechCrunch und SOCRadar beschreiben einen in der BMW-Entwicklungsumgebung gehosteten Microsoft-Azure-Speicherbucket, der öffentlich zugänglich war und private Schlüssel, Azure-Containerzugriffsdetails, Cloud-Dienstinformationen sowie Entwicklungs-/Produktionsdatenbank-Anmeldeinformationen enthielt. BMW bestätigte den betroffenen Entwicklungsumgebungs-Bucket gegenüber TechCrunch, erklärte, dass keine Kunden- oder Personendaten betroffen seien, und gab an, dass das Problem Anfang 2024 behoben wurde. Das Analyse-Signal liegt in der Lücke zwischen dem Privatisieren eines Buckets und dem Nachweis, dass offengelegte Anmeldeinformationen, Schlüssel und nachgelagerte Cloud-Zugriffe rotiert, eingegrenzt und überwacht wurden.

Die Offenlegung von BMW muss im Kontext des Cloud-Kontrollplans hinter den Automobilsoftwareoperationen betrachtet werden. Der öffentliche Fall konzentriert sich auf einen in der BMW-Entwicklungsumgebung gehosteten Speicherbucket auf Microsoft Azure, der für öffentlichen Zugriff konfiguriert war. SOCRadar gab an, dass sein Forscher Can Yoleri den Bucket bei einer Analyse am 18. Dezember 2023 entdeckte, und TechCrunch berichtete die Geschichte am 14. Februar 2024.

Die offengelegten Elemente wurden nicht als Kundendaten beschrieben. TechCrunch berichtete über private Schlüssel für BMWs Cloud-Dienste in China, Europa und den USA sowie über Anmeldeinformationen für die Produktions- und Entwicklungsdatenbanken von BMW. SOCRadar beschrieb Azure-Containerzugriffsdaten, geheime Schlüssel für private Bucket-Adressen und andere Details zu Cloud-Diensten. BMW erklärte gegenüber TechCrunch, dass keine Kunden- oder Personendaten betroffen seien und dass das Problem Anfang 2024 behoben wurde.

Diese Begrenzung ist wichtig, da das Risiko betrieblicher Natur ist und nicht durch Verbraucherbenachrichtigungen bestimmt wird. Ein öffentlicher Entwicklungs-Bucket kann dennoch Geheimnisse offenlegen, die Umgebungen, Regionen oder Cloud-Dienste verbinden. Die Kontrollfläche umfasst die öffentliche Zugriffsrichtlinie, die Speicherung von Geheimnissen, die Rotation von Anmeldeinformationen, die Trennung von Entwicklung/Produktion, das Cloud-Inventar, die Überwachung der Exposition und den Nachweis, dass die entdeckten Schlüssel nach der Eindämmung nicht wiederverwendet werden können.

Ungelöste Fragen sind ebenfalls Teil des Signals. Öffentliche Quellen stellen nicht fest, wie lange der Bucket zugänglich war, wie viele Daten zugänglich waren, ob jemand die offengelegten Elemente genutzt hat, ob jede Anmeldeinformation widerrufen wurde oder ob BMW die umgebenden Kontrollen geändert hat. Diese Fragen müssen durch spätere Berichte des Unternehmens, des Forschers oder hochwertiger Sicherheitsquellen verfolgt werden, anstatt aus dem Titel heraus beantwortet zu werden.