Több mint száz súlyos hiba brit kormányzati nyilvános kódban: „isteni szintű” adatvédelmi kockázat
Chris Nesbitt-Smith, a ControlPlane kutatója több mint száz súlyos sebezhetőséget talált az Egyesült Királyság kormányzati szerveinek nyilvánosan közzétett kódjában; a hibák érzékeny adatokat tettek ki veszélynek, gyenge kiberhigiénia miatt. A brit kormány körülbelül egy évtizede teszi közzé a közpénzből készült kódot, átláthatóság és újrafelhasználás miatt; érintett az egészségügyi és szociális ellátásért felelős tárca, a belügyminisztérium és helyi hatóságok is. Nesbitt-Smith a Claude Opus és Sonnet modelljeivel, fogyasztói szintű AI-val, laptopon dolgozott, és szerint a problémák nagy része rutinszerű IT-ellenőrzéssel is kiderült volna: „ostoba” hibákról van szó, nem kifinomult támadásokról.
A 33 szervezet 349 nyilvános kódbázisának körülbelül kétharmadában talált sebezhetőséget. Az oktatási tárca kódjában iskolai beszerzési szolgáltatás, tanári jelentkezési rendszer (személyes adatok, végzettség, munkatörténet, személyazonosító iratok) és az államilag finanszírozott képzők, tanulószerződések nyilvántartása is érintett volt. Egy skót kormányzati nyíltadat-portálon bármely látogató adminisztrátori fiókadatokat olvashatott és módosíthatta a konfigurációt; a szervezetek a hibákat azóta kezelték.
A legsúlyosabb eset az angol Tervügyi Fellebvonási Hatóságnál történt: a GitHubra véletlenül kikerült, nem teljesen eltávolított, nem lejáró bejelentkezési adatok a Microsoft Entra ID-n keresztül „isteni szintű” olvasási és írási hozzáférést adhattak SharePoint-helyekhez, munkatársak OneDrive-fiókjaihoz, HR-anyagokhoz és törvényes letét alatt álló bizonyítékokhoz. A hatóság szerint a kiberfigyelés augusztusban észlelte a kutató tevékenységét, a jelentés után húsz percen belül javították a hibát, adatvesztés nem történt. Amanda Brock, az OpenUK vezetője szerint ez nem nyílt forráskódú biztonsági kérdés, hanem a nyilvános eszközök használatának belső folyamathibája. Az NHS májusban a nyílt forráskódtól való elmozdulást rendelte el; Nesbitt-Smith szerint a rejtőzködés javítás nélkül a legrosszabb: a támadók a tárolókat már tükrözhették.
Folytasd az appban — szavazz és szólj hozzá ➔