Los enlaces para compartir de Grok Build dejan abiertas unas 35.000 aplicaciones, incluidos archivos internos de la propia SpaceXSI
La firma de seguridad Claroc descubrió que podía enumerar aplicaciones activas de Grok Build y abrir sus datos, desde planes de negocio hasta resultados de exámenes médicos; SpaceXSI retiró sus 24 apps expuestas tras preguntar Ars Technica, pero la mayoría de los demás datos seguían accesibles.
Por qué importa
Las herramientas de programación asistida permiten publicar aplicaciones en minutos, y este caso muestra el coste en seguridad cuando las opciones de compartir son débiles. Grok Build aleatoriza las URL, pero una decisión de diseño hizo localizables miles de proyectos activos, de modo que cualquiera podía encontrarlos. La exposición alcanzó material de ventas de la propia SpaceXSI y, según Claroc, apps de empleados de empresas Fortune 500 y de un contratista de defensa. Claroc dice que SpaceXSI no respondió a su aviso del domingo. Habrá que ver un arreglo en la publicación de enlaces, avisos a las empresas afectadas y si los reguladores tratan los historiales médicos expuestos como brecha notificable.
Datos clave
- Investigador: la firma de seguridad Claroc
- Unas 35.000 apps de Grok Build abiertas a cualquiera
- 24 apps expuestas eran de la propia SpaceXSI
- Expuesto: plan de incorporación, mapa de 594 cuentas de ventas, propuestas publicitarias
- Claroc avisó a SpaceXSI el domingo
- SpaceXSI retiró sus 24 enlaces tras las preguntas de Ars Technica