クラウドコードの「再問しない」ファイルがGitHubの1122の公開コピーでパスワードとキーを公開

クラウドコードで承認されたコマンドに含まれるパスワードやAPIキーが、GitHubの公開リポジトリで誰でも読める状態になっていることが分かりました。クラウドコードは、ユーザーが「はい、再問しない」を選択すると、コマンドをプロジェクト設定ファイルに保存することができます。このファイルには、パスワードやキーが平文で保存されることがあります。ソフトウェアセキュリティ会社のApiiroは、1122の公開コピーのうち、至少1つのシークレットを含むファイルが存在することを確認しました。

クラウドコードは、プロジェクト設定ファイルをgitから除外しようとしますが、この保護はユーザーのgit設定にのみ適用され、プロジェクト自体には適用されません。したがって、すでにコミットされたファイルやフォークされたリポジトリには、この保護は適用されません。Apiiroの調査では、104,185のコピーのうち、1.1%にあたる1,122のコピーが至少1つのシークレットを含んでいます。