草庐IT

美国顶级在线教育平台泄露22TB数据

网络研究院 2023-04-04 原文

©网络研究院

事件发生时,属于美国“三大”教育出版商之一的麦格劳希尔教育(McGraw Hill) 的两个配置错误的 AWS S3 存储桶在没有任何安全认证的情况下暴露在外。

vpnMentor 的网络安全研究人员发现了几个配置错误的 Amazon Web Services (AWS) S3 存储桶,其中包含属于美国教育出版公司 McGraw Hill 的大量数据。

该平台是美国三大教育内容出版商之一,也被加拿大各地的教育机构广泛用于促进在线课程。

它为可以在其门户网站上访问讲座和上传家庭作业的学生构建教育软件。

研究人员发现了两个配置错误的 Amazon Web Services S3 存储桶,其所有者被确定为 McGraw Hill 。

研究人员发现了一个包含超过 6900 万份文档和 10TB+ 数据的非生产存储桶,以及一个包含 12TB+ 数据的生产存储桶。

总共暴露了 22TB 的数据,存储桶中包含 1.17 亿个文件。这些桶于 2022 年 6 月 12 日被发现。vpnMentor 的研究人员首先于 2022 年 6 月 13 日联系了 McGraw Hill,然后于 2022 年 6 月 15 日和 6 月 20 日再次联系。

他们于 2022 年 6 月 27 日第四次联系他们,最终在 2022 年 6 月 27 日至 7 月 4 日期间多次联系美国 CERT。

vpnMentor 总共尝试联系 McGraw Hill 九次。2022 年 7 月 7 日,vpnMentor 联系了 Amazon Web Service,最终他们于 2022 年 7 月 9 日收到了回复。

根据 vpnMentor 的博客文章,由于这次数据泄露,大约 100,000 名学生可能会受到大量在线攻击。

他们的私人数据,如个人详细信息和成绩,可能会受到威胁,任何人都可以使用网络浏览器访问这些数据。

此外,暴露的数据包括包含学生数据(例如电子邮件 ID、姓名和成绩)的 Excel 工作表、包含学生作业、表现报告和成绩的文档以及包含教师教学大纲的文档。

从其中一个暴露的文件中截取的屏幕截图

此外,数据包括不同课程的阅读材料、麦格劳希尔的源代码和麦格劳希尔的私人数字密钥。

源代码的泄露是危险的,因为它可以帮助威胁行为者搜索其他漏洞。

据报道,违规或事件影响了以下大学的学生:

  1. 麦吉尔大学

  2. 伊利诺伊大学

  3. 多伦多大学

  4. 密歇根大学

  5. 约翰霍普金斯大学

  6. 圣路易斯华盛顿大学

  7. 加州大学洛杉矶分校

研究人员指出,McGraw Hill 使用 AWS S3 存储桶存储来自其在线教育服务的数据,因为暴露的数据属于连接到 AWS 账户的公司在线学习门户。

研究人员确信亚马逊不对错误配置的数据库负责。在几次尝试将问题提请公司注意但失败后,vpnMentor 可以联系他们,并且敏感文件已于 7 月 20 日从公开曝光中删除。

数据泄露可能会产生深远的影响,因为全世界的用户都受到这种暴露的影响。但是,尚不清楚服务器是否被第三方恶意访问。

尽管如此,在发布本文时,由于 vpnMentor 对有关当局的不间断警报,两台暴露的服务器都已得到保护。

 GitHub 存储库被黑后 Okta 的源代码被盗对于 Okta 来说,这是艰难的一年,发生了一系列安全事件和颠簸的披露。https://mp.weixin.qq.com/s?__biz=MzU5MTcwMzcyNA==&mid=2247493187&idx=2&sn=08bcf1c13e9aa347b4c3979148aee3b9&chksm=fe285d80c95fd49646affcce426f818cafea737c70ef270bc9c3287dd260806663c3ad391ffd&scene=126&sessionid=1671810534&subscene=227&key=7492e609766a11bdf823d696a73b8b20e9dddf9bf86d83a312263c260ba0df46b9d6ddf5ea3adfc613b025b4c546c019fecb0b95f9d134a961e9f62ddf8ec64a2789ced032a4bbf495076aa61cfb60040738b5ed16126045f047295b467de0c9c2f21e12c41afd3b4ce87f13798d9a6e9dfa6725f070e3b38abf2016b228f047&ascene=7&uin=MTUwMjk0OTE5OA%3D%3D&devicetype=Windows+11+x64&version=63080029&lang=zh_CN&exportkey=n_ChQIAhIQDEurebYj8awmPo9ktSrvzxLgAQIE97dBBAEAAAAAAJYOLL%2FWtAwAAAAOpnltbLcz9gKNyK89dVj013dyc42U%2BjzBQlQiTO%2Bot7gWF35Miu5yfp7HLtOAY%2BHq%2BoXlSMdCchR%2Fs8UdAtzfI8X%2FzND9yA%2Bhn5LUT3%2B2jcejnHgzwgpztlu6jehV8bgW%2BZF2xXAAFQBIm2kQypXiJe%2FHsVnVc38j%2Fp2WBxl7nrjURMLpE4gjAtBbRDmHa3xruHbxIslriTyWJbcFoAPeXenGofK30u5v%2BILmbCSj8SzMicz59bqV1yynTyLpg0oHTjk2zh0DD7%2B8&acctmode=0&pass_ticket=ffpW8LD1SqT71hMUouz%2F3p%2BJXK4SjTITDMk%2By8CwbzM2i1iSCuC6f5TLWq%2FouuyiCNfLWGK6cy4r0ccbfT0SwQ%3D%3D&wx_header=1&fontgear=2

最新的“推特文件”披露了大量联邦调查局的电子邮件这是联邦调查局用来审查帖子的秘密渠道工具。https://mp.weixin.qq.com/s/VxSUPmtgfNkfvRqebm-BUA大型科技公司裁员,谁想要这些人?政府、非营利组织和小型创业公司希望挖走被解雇的人。https://mp.weixin.qq.com/s/ZMpeC_u4ONESYaWOB3CmXA 

有关美国顶级在线教育平台泄露22TB数据的更多相关文章

  1. ruby - 解析 RDFa、微数据等的最佳方式是什么,使用统一的模式/词汇(例如 schema.org)存储和显示信息 - 2

    我主要使用Ruby来执行此操作,但到目前为止我的攻击计划如下:使用gemsrdf、rdf-rdfa和rdf-microdata或mida来解析给定任何URI的数据。我认为最好映射到像schema.org这样的统一模式,例如使用这个yaml文件,它试图描述数据词汇表和opengraph到schema.org之间的转换:#SchemaXtoschema.orgconversion#data-vocabularyDV:name:namestreet-address:streetAddressregion:addressRegionlocality:addressLocalityphoto:i

  2. ruby - Ruby 有 `Pair` 数据类型吗? - 2

    有时我需要处理键/值数据。我不喜欢使用数组,因为它们在大小上没有限制(很容易不小心添加超过2个项目,而且您最终需要稍后验证大小)。此外,0和1的索引变成了魔数(MagicNumber),并且在传达含义方面做得很差(“当我说0时,我的意思是head...”)。散列也不合适,因为可能会不小心添加额外的条目。我写了下面的类来解决这个问题:classPairattr_accessor:head,:taildefinitialize(h,t)@head,@tail=h,tendend它工作得很好并且解决了问题,但我很想知道:Ruby标准库是否已经带有这样一个类? 最佳

  3. ruby - 我如何添加二进制数据来遏制 POST - 2

    我正在尝试使用Curbgem执行以下POST以解析云curl-XPOST\-H"X-Parse-Application-Id:PARSE_APP_ID"\-H"X-Parse-REST-API-Key:PARSE_API_KEY"\-H"Content-Type:image/jpeg"\--data-binary'@myPicture.jpg'\https://api.parse.com/1/files/pic.jpg用这个:curl=Curl::Easy.new("https://api.parse.com/1/files/lion.jpg")curl.multipart_form_

  4. 世界前沿3D开发引擎HOOPS全面讲解——集3D数据读取、3D图形渲染、3D数据发布于一体的全新3D应用开发工具 - 2

    无论您是想搭建桌面端、WEB端或者移动端APP应用,HOOPSPlatform组件都可以为您提供弹性的3D集成架构,同时,由工业领域3D技术专家组成的HOOPS技术团队也能为您提供技术支持服务。如果您的客户期望有一种在多个平台(桌面/WEB/APP,而且某些客户端是“瘦”客户端)快速、方便地将数据接入到3D应用系统的解决方案,并且当访问数据时,在各个平台上的性能和用户体验保持一致,HOOPSPlatform将帮助您完成。利用HOOPSPlatform,您可以开发在任何环境下的3D基础应用架构。HOOPSPlatform可以帮您打造3D创新型产品,HOOPSSDK包含的技术有:快速且准确的CAD

  5. FOHEART H1数据手套驱动Optitrack光学动捕双手运动(Unity3D) - 2

    本教程将在Unity3D中混合Optitrack与数据手套的数据流,在人体运动的基础上,添加双手手指部分的运动。双手手背的角度仍由Optitrack提供,数据手套提供双手手指的角度。 01  客户端软件分别安装MotiveBody与MotionVenus并校准人体与数据手套。MotiveBodyMotionVenus数据手套使用、校准流程参照:https://gitee.com/foheart_1/foheart-h1-data-summary.git02  数据转发打开MotiveBody软件的Streaming,开始向Unity3D广播数据;MotionVenus中设置->选项选择Unit

  6. 使用canal同步MySQL数据到ES - 2

    文章目录一、概述简介原理模块二、配置Mysql使用版本环境要求1.操作系统2.mysql要求三、配置canal-server离线下载在线下载上传解压修改配置单机配置集群配置分库分表配置1.修改全局配置2.实例配置垂直分库水平分库3.修改group-instance.xml4.启动监听四、配置canal-adapter1修改启动配置2配置映射文件3启动ES数据同步查询所有订阅同步数据同步开关启动4.验证五、配置canal-admin一、概述简介canal是Alibaba旗下的一款开源项目,Java开发。基于数据库增量日志解析,提供增量数据订阅&消费。Git地址:https://github.co

  7. ruby-on-rails - 创建 ruby​​ 数据库时惰性符号绑定(bind)失败 - 2

    我正在尝试在Rails上安装ruby​​,到目前为止一切都已安装,但是当我尝试使用rakedb:create创建数据库时,我收到一个奇怪的错误:dyld:lazysymbolbindingfailed:Symbolnotfound:_mysql_get_client_infoReferencedfrom:/Library/Ruby/Gems/1.8/gems/mysql2-0.3.11/lib/mysql2/mysql2.bundleExpectedin:flatnamespacedyld:Symbolnotfound:_mysql_get_client_infoReferencedf

  8. STM32读取串口传感器数据(颗粒物传感器,主动上传) - 2

    文章目录1.开发板选择*用到的资源2.串口通信(个人理解)3.代码分析(注释比较详细)1.主函数2.串口1配置3.串口2配置以及中断函数4.注意问题5.源码链接1.开发板选择我用的是STM32F103RCT6的板子,不过代码大概在F103系列的板子上都可以运行,我试过在野火103的霸道板上也可以,主要看一下串口对应的引脚一不一样就行了,不一样的就更改一下。*用到的资源keil5软件这里用到了两个串口资源,采集数据一个,串口通信一个,板子对应引脚如下:串口1,TX:PA9,RX:PA10串口2,TX:PA2,RX:PA32.串口通信(个人理解)我就从串口采集传感器数据这个过程说一下我自己的理解,

  9. SPI接收数据异常问题总结 - 2

    SPI接收数据左移一位问题目录SPI接收数据左移一位问题一、问题描述二、问题分析三、探究原理四、经验总结最近在工作在学习调试SPI的过程中遇到一个问题——接收数据整体向左移了一位(1bit)。SPI数据收发是数据交换,因此接收数据时从第二个字节开始才是有效数据,也就是数据整体向右移一个字节(1byte)。请教前辈之后也没有得到解决,通过在网上查阅前人经验终于解决问题,所以写一个避坑经验总结。实际背景:MCU与一款芯片使用spi通信,MCU作为主机,芯片作为从机。这款芯片采用的是它规定的六线SPI,多了两根线:RDY和INT,这样从机就可以主动请求主机给主机发送数据了。一、问题描述根据从机芯片手

  10. 微信小程序通过字典表匹配对应数据 - 2

    前言一般来说,前端根据后台返回code码展示对应内容只需要在前台判断code值展示对应的内容即可,但要是匹配的code码比较多或者多个页面用到时,为了便于后期维护,后台就会使用字典表让前端匹配,下面我将在微信小程序中通过wxs的方法实现这个操作。为什么要使用wxs?{{method(a,b)}}可以看到,上述代码是一个调用方法传值的操作,在vue中很常见,多用于数据之间的转换,但由于微信小程序诸多限制的原因,你并不能优雅的这样操作,可能有人会说,为什么不用if判断实现呢?但是if判断的局限性在于如果存在数据量过大时,大量重复性操作和if判断会让你的代码显得异常冗余。wxswxs相当于是一个独立

随机推荐