У коді британських держорганів виявили понад 100 серйозних вразливостей
Дослідник знайшов понад 100 серйозних вразливостей у відкритому коді британських державних установ.
Дослідник кібербезпеки Кріс Несбітт-Сміт виявив понад 100 серйозних вразливостей у публічно доступному коді британських державних установ. Проблеми могли поставити під загрозу чутливі дані у кількох відомствах та органах місцевої влади, повідомляє Wired.
За словами дослідника компанії ControlPlane, він перевірив 349 кодових баз 33 організацій державного сектору та знайшов уразливості приблизно у двох третинах із них. Для пошуку він використовував моделі штучного інтелекту Claude Opus і Sonnet на звичайному ноутбуці. Несбітт-Сміт зазначив, що багато з цих проблем могли б виявити під час стандартної перевірки стану ІТ-систем.
Доступ до даних Planning Inspectorate
Найсерйозніший випадок стосувався Planning Inspectorate — органу, який розглядає питання землекористування в Англії. Установа не повністю видалила облікові дані після того, як їх випадково опублікували у відкритому репозиторії GitHub.
За оцінкою Несбітта-Сміта, повний доступ Microsoft Entra ID давав можливість читати й змінювати інформацію на всіх сайтах SharePoint та у приватних облікових записах OneDrive працівників, зокрема дані кадрового характеру. Також він міг відкрити доступ до бібліотек із доказами, що зберігаються для процедурних розглядів та апеляцій у сфері планування.
Представник Planning Inspectorate заявив, що інструменти кібермоніторингу зафіксували активність дослідника ще у серпні. Установі знадобилося 20 хвилин після повідомлення, щоб усунути вразливість; там також заявили, що витоку даних не сталося.
Проблеми в освітніх сервісах
Вразливості також виявили у коді Міністерства освіти Великої Британії. Вони стосувалися, зокрема, сервісу закупівель для шкіл, системи подання заявок для вчителів із персональними даними, відомостями про кваліфікацію, трудову історію та документами для підтвердження особи, а також основного англійського реєстру постачальників фінансованого державою навчання й учнівства.
Окремо дослідник знайшов проблему на порталі відкритих даних уряду Шотландії. Вона дозволяла відвідувачам переглядати інформацію адміністративних облікових записів і змінювати конфігурацію сайту. За даними видання, відповідні організації вже усунули виявлені недоліки.
Гендиректорка галузевої некомерційної організації OpenUK Аманда Брок наголосила, що випадок із Planning Inspectorate пов'язаний не з відкритим кодом, а з недотриманням належних процедур під час використання публічних інструментів.
