بیش از ۱۶ هزار دیتابیس Supabase اطلاعات کاربران رو لو داده‌ن
خلاصهٔ کامل‌تر
محققان شرکت مدیریت ریسک سایبری UpGuard بیش از ۱۶ هزار دیتابیس Supabase با تنظیمات غلط پیدا کرده‌ن که جدول‌هاشون از بیرون قابل خوندن بوده. تو بیشتر از نصف این دیتابیس‌ها اطلاعات هویتی (PII) دیده شده و تو بخش کوچک‌تری هم رمز عبور و توکن احراز هویت. UpGuard می‌گه بر پایه بررسی ساختار جدول‌ها، تو یه مجموعه خیلی کوچک از این داده‌ها حتی اطلاعات کارت بانکی هم بوده.
Supabase یه پلتفرم توسعه اپن‌سورس حول PostgreSQL هست که سرویس‌های سمت سرور رو آماده در اختیار برنامه‌نویس می‌ذاره تا سریع‌تر اپ و سایت بالا بیاره. این سرویس بین کسایی که با ابزارهای هوش مصنوعی پروژه می‌سازن خیلی گرفته: بیش از ۶۰ درصد دیتابیس‌های تازه‌ساخته‌شده مربوط به توسعه با کمک هوش مصنوعیه.
روش کار محققان این بود که حدود ۳۰۰ هزار دامنه با نشانه‌های استفاده از Supabase رو بررسی کردن و سراغ جدول users رفتن. بعضی کوئری‌ها صفحه‌ای از دیتابیس برگردوندن و بعضی دیگه نشون دادن که جدول users وجود نداره ولی جدولی با اسم دیگه در دسترسه. بعد از ساختار همون جدول‌ها استفاده کردن تا حدس بزنن چه نوع داده‌ای لو رفته.
نمونه‌های شاخصی که گزارش شده: یه سرویس پارکینگ آمریکایی با بیش از ۱۰۰ هزار رکورد مشتری شامل اطلاعات تماس، پلاک خودرو و سابقه مراجعه؛ یه سرویس مهاجرتی کانادایی با نزدیک ۵ هزار رکورد کاربر که ۸۸۴ تاش رمز عبور بدون رمزنگاری داشته؛ یه پلتفرم محتوای بزرگسال در هند با هویت، حساب‌های پرداخت و بیش از ۱۰۰ هزار پیام خصوصی؛ یه سرویس OTP در فیلیپین با داده ۲ هزار کاربر و ۱۰۰ هزار پیامک؛ و یه کنسولگری دولتی آفریقایی با رکورد ۲۵ هزار نفر شامل آدرس و محل اسکان اضطراری.
مکانیزم مشکل، آسیب‌پذیری خود Supabase نیست. به گفته محققان ریشه‌ش تنظیمات ضعیف امنیتی سمت اپلیکیشنه: سیاست‌های row-level security (یعنی قاعده‌ای که تعیین می‌کنه هر کاربر کدوم ردیف‌های جدول رو ببینه) یا اصلاً نوشته نشده یا بی‌اثره، و کلید عمومی (anon key) بدجا استفاده شده. UpGuard می‌گه این تنظیمات به نوع کسب‌وکار ربطی نداره، چون آدم‌هایی که می‌دونن دارن چه کسب‌وکاری تبلیغ می‌کنن، از تنظیمات دیتابیس خودشون سر در نمی‌آرن.
به گفته UpGuard رشته مشترک این سایت‌ها اینه که با عامل‌های کدنویس هوش مصنوعی ساخته شدن و صاحب‌ها از تنظیمات بی‌خبرن؛ هرچند خودشون هم تأکید کردن اسکن‌هاشون اثبات نمی‌کنه هر سایت آسیب‌دیده با عامل هوش مصنوعی ساخته شده. جایی که تحلیل عمیق‌ترشون نشت مهمی رو نشون داده به صاحب اپلیکیشن خبر داده‌ن. توصیه‌شون به کاربران Supabase هم اینه که مستندات امنیتی پلتفرم، خصوصاً بخش advisors و راهنمای امن‌سازی API، رو مرور کنن تا ریسک افشا رو پیدا و رفع کنن.
نکات کلیدی:
- بیش از ۱۶ هزار دیتابیس Supabase با جدول‌های قابل خوندن پیدا شده؛ تو بیشتر از نصفشون PII بوده
- علت فنی: نبودن یا بی‌اثر بودن سیاست row-level security و استفاده نادرست از کلید عمومی، نه باگ خود Supabase
- UpGuard حدود ۳۰۰ هزار دامنه با نشانه استفاده از Supabase رو بررسی و از ساختار جدول‌ها نوع داده لو رفته رو استنباط کرده
- یه سرویس مهاجرتی کانادایی ۸۸۴ رمز عبور بدون رمزنگاری و یه سرویس پارکینگ آمریکایی بیش از ۱۰۰ هزار رکورد مشتری لو داده
- بیش از ۶۰ درصد دیتابیس‌های تازه Supabase مربوط به توسعه با کمک هوش مصنوعیه؛ UpGuard همین رو رشته مشترک این نشت‌ها می‌دونه
- راه رفع: مرور advisors و راهنمای securing your API تو مستندات Supabase
