باحث أمني يجد أكثر من 100 ثغرة في كود حكومة المملكة المتحدة

وجد باحث أمني أكثر من 100 ثغرة خطيرة في كود حكومي بريطاني متاح للعامة، مما عرض البيانات الحساسة للخطر. قال كريس نيسبيت-سميث من ControlPlane إن كثيراً من المشكلات كان يمكن اكتشافها من خلال فحص صحي روتيني لتقنية المعلومات، وأنه استخدم نماذج ذكاء اصطناعي من فئة المستهلك للمساعدة في العثور عليها. وقد تعاملت الجهات المعنية مع المشكلات منذ ذلك الحين.

ما وجد الباحث

نشرت حكومة المملكة المتحدة علناً كوداً أُنتج بأموال عامة لنحو عقد من الزمن، بما في ذلك كود من وزارة الصحة والرعاية الاجتماعية، ووزارة الداخلية، والسلطات المحلية. وقد تركت ضغوط التمويل الإدارات تهمل صيانة بنيتها التقنية وتحسينها. في نحو ثلثي 349 قاعدة كود في القطاع العام عبر 33 منظمة فحصها نيسبيت-سميث، وجد ثغرات.

كانت عدة منها في كود وزارة التعليم، بما في ذلك خدمة مشتريات تستخدمها المدارس، وخدمة طلبات معلمين تحتوي على تفاصيل شخصية، ومؤهلات، وتاريخ توظيف، ووثائق هوية، والسجل الرئيسي في إنجلترا لمقدمي التدريب الممولين من الحكومة وبرامج التدريب المهني. كما وجد ثغرة في بوابة البيانات المفتوحة للحكومة الاسكتلندية كانت ستسمح لأي زائر بقراءة معلومات حساب إداري وتغيير إعدادات الموقع.

بيانات اعتماد هيئة التخطيط

أخطر الحالات تعلقت بهيئة التخطيط، التي تتعامل مع أمور استخدام الأراضي في إنجلترا. ولم تُزل بيانات دخول بالكامل بعد أن التزمت بها عن طريق الخطأ إلى مستودع GitHub العام. ومنحت بيانات الاعتماد وصولاً واسعاً وبدا أنها لا تنتهي صلاحيتها، وجعل نشرها العرضي المشكلة بالغة الخطورة.

كان Microsoft Entra ID كاملاً ليمنح وصولاً للقراءة والكتابة على أعلى مستوى من الصلاحيات إلى جميع مواقع SharePoint وحسابات OneDrive الخاصة للموظفين، بما في ذلك سجلات الموارد البشرية. كما كان ليمنح وصولاً إلى مكتبات حساسة تحمي أدلة خاضعة لحجز قانوني لاستفسارات التخطيط النظامية والاستئنافات. وقال نيسبيت-سميث إن إمكانية تشفير البيانات ببرمجيات فدية، أو تشفير جميع البيانات، أو مجرد سرقة جميع البيانات، كانت متاحة بوضوح.

قال متحدث باسم هيئة التخطيط إن أدوات مراقبة الأمن السيبراني لديها اكتشفت نشاط نيسبيت-سميث فوراً في أغسطس، وأنها كانت تتعامل مع هذا الأمر كحادث أمن سيبراني عندما تواصلت ControlPlane. وحددت الوكالة الثغرة وأصلحتها خلال 20 دقيقة من التقرير، وأثبتت أن أي خرق للبيانات لم يحدث. وقالت إنها راجعت أنظمتها وعملياتها وعززتها.

نقاش حول المصادر المفتوحة والذكاء الاصطناعي

قالت أماندا بروك، الرئيسة التنفيذية لـ OpenUK، إن مشكلة هيئة التخطيط لم تكن حول المصادر المفتوحة بل حول التدبير الداخلي عند استخدام الأدوات العامة. وقالت إن البيانات تعرضت للكشف بسبب إخفاق في اتباع إجراءات سليمة، وأنها لم تكن مشكلة أمن في المصادر المفتوحة.

كانت هناك مؤخراً حجج لوقف أقسام القطاع العام عن نشر كود المصدر علناً، بعد أن سرّع الذكاء الاصطناعي وتيرة اكتشاف الثغرات. وأفادت تقارير بأن NHS أمرت فرق التقنية في مايو بالانتقال بعيداً عن كود المصادر المفتوحة وسط مخاوف أمنية حول تأثير نماذج الذكاء الاصطناعي. وقال نيسبيت-سميث إن القيام بذلك دون إصلاح المشكلات الأساسية فوراً سيكون أسوأ سيناريو، لأن ذلك يمنع الباحثين من العثور عليها وقد يكون خصم قد نسخ المستودعات بالفعل. وقال إن إغلاق الكود دون إصلاح مشكلات قد يجذب المزيد من الاهتمام إليه.

المصادر: Wired