Дослідник безпеки знайшов понад 100 вразливостей у коді уряду Великої Британії

Дослідник безпеки знайшов понад 100 серйозних вразливостей у відкрито доступному коді уряду Великої Британії, що ставило під загрозу конфіденційні дані. Кріс Несбітт-Сміт із ControlPlane сказав, що багато проблем могли б виявити під час звичайної перевірки стану ІТ, і що він використовував споживчі моделі ШІ, щоб допомогти їх знайти. Залучені організації з того часу впоралися з цими проблемами.

Що знайшов дослідник

Уряд Великої Британії відкрито публікує код, створений за державні кошти, приблизно вже десять років, зокрема код із Department of Health and Social Care, Home Office та місцевих органів влади. Скорочення фінансування залишило відомства без належного обслуговування й удосконалення їхньої технологічної інфраструктури. За його словами, приблизно у двох третинах із 349 кодових баз публічного сектору в 33 організаціях, які просканував Несбітт-Сміт, він знайшов вразливості.

Кілька вразливостей було в коді Department of Education, зокрема в сервісі закупівель, яким користуються школи, у сервісі подання заявок учителів із персональними даними, кваліфікаціями, історією працевлаштування та посвідчувальними документами, а також в основному реєстрі Англії постачальників навчання, що фінансуються урядом, та програм учнівства. Вразливість у порталі відкритих даних Scottish Government дозволила б будь-якому відвідувачу читати інформацію адміністративних облікових записів і змінювати конфігурацію сайту.

Облікові дані Planning Inspectorate

Найсерйозніший випадок стосувався Planning Inspectorate, яке займається питаннями землекористування по всій Англії. Воно не повністю видалило дані для входу після того, як випадково додало їх до публічного репозиторію GitHub. Ці облікові дані забезпечували широкий доступ і, здавалося, не мали строку дії, а їхнє випадкове оприлюднення робило проблему особливо небезпечною.

Повний Microsoft Entra ID забезпечив би доступ найвищого рівня на читання й запис до всіх сайтів SharePoint і приватних облікових записів OneDrive працівників, зокрема до кадрових записів. Він також дав би доступ до чутливих бібліотек, що зберігають докази під правовим утриманням для статутних планувальних розслідувань і апеляцій. Несбітт-Сміт сказав, що можливість заблокувати їх програмою-вимагачем, зашифрувати всі дані або просто викрасти всі дані була цілком реальною.

Представник Planning Inspectorate сказав, що інструменти кібермоніторингу одразу виявили діяльність Несбітт-Сміта в серпні й що агентство вже розглядало це як кіберінцидент, коли ControlPlane вийшло на зв'язок. Агентство виявило й усунуло вразливість протягом 20 хвилин після звіту та перевірило, що витоку даних не сталося. Воно сказало, що переглянуло й посилило свої системи та процеси.

Дебати про відкритий код і ШІ

Аманда Брок, головна виконавча директорка OpenUK, сказала, що проблема Planning Inspectorate стосувалася не відкритого коду, а внутрішнього порядку під час використання публічних інструментів. Вона сказала, що дані були відкриті через те, що не дотрималися належного процесу, і що це не була проблема безпеки відкритого коду.

Останнім часом з'явилися аргументи на користь того, щоб відомства публічного сектора припинили відкрито публікувати вихідний код тепер, коли ШІ прискорив виявлення вразливостей. За повідомленнями, NHS у травні наказала технологічним командам відійти від відкритого коду через занепокоєння щодо впливу моделей ШІ на безпеку. Несбітт-Сміт сказав, що робити це без негайного виправлення основних проблем буде найгіршим сценарієм, тому що це заважає дослідникам знаходити їх, а супротивник, імовірно, вже скопіював ці репозиторії і тому збереже до них доступ. Він сказав, що закриття коду без виправлення проблем може привернути до нього більше уваги.

Джерела: Wired