‼️ DeepSeek хранила данные пользователей в открытом доступе — и без какой-либо защиты от внешних воздействий

Базу данных сервиса с более чем миллионом строк обнаружили в открытом доступе: в ней хранилась история чатов, секретные ключи, сведения о серверной части и другая высокочувствительная информация. Доступ к ней смогли получить исследователи из Wiz Research, которые потратили на это всего «несколько минут».

🤖 Забавный факт: оказалось, что китайцы использовали разработанную Яндексом СУБД ClickHouse. Менее забавный факт: открыть её без какой-либо аутентификации специалисты смогли, банально пройдясь по открытым портам и поддоменам. Так они нашли адреса oauth2callback.deepseek.com:9000 и dev.deepseek.com:9000.

База работала даже не в режиме чтения — хотя и его было бы достаточно, чтобы получить доступ к журналам чатов и другой информации о пользователях. «More critically, the exposure allowed for full database control and potential privilege escalation within the DeepSeek environment, without any authentication or defense mechanism to the outside world».

Судя по примерам, буквально в пару команд «белые хакеры» смогли выгрузить всю «внутрянку» сервиса. И всё это очень вовремя после того, как американские компании обратили своё пристальное внимание на источники данных DeepSeek и потенциальную кражу технологий. Совпадение ли?

🔤🔤Кажется, утро у работников DeepSeek, отмечающих китайский Новый год, будет очень недобрым. «Партия больше не гордится тобой! Удар! Удар!»