Hanwha セキュリティカメラのファームウェアに GitHub 管理者トークン埋め込み、数百リポジトリ支配可能

要約

セキュリティ研究者がHanwhaのセキュリティカメラファームウェアを解析した結果、GitHub 管理者トークンが 30 ファイル以上に埋め込まれていることを発見した。このトークンは同社の GitHub 組織内で数百のリポジトリへの管理者権限を持つ。ファームウェアビルド時に CI 環境全体が Vite で JavaScript に展開された結果で、管理者 UI にアクセスするユーザーに対してトークンが送信される可能性があった。Hanwha への報告から 12 時間以内にトークンは無効化された。