Исследователь в области кибербезопасности обнаружил более 100 серьёзных уязвимостей в общедоступном программном коде британских государственных структур. Из-за недостаточного контроля конфиденциальные данные могли оказаться под угрозой. Об этом сообщило издание WIRED.
Около десяти лет ведомства Великобритании публиковали разработанный за бюджетные средства код в открытом доступе. Такой подход объясняли прозрачностью и возможностью повторного использования программных решений. Код размещали, в частности, структуры, отвечающие за здравоохранение, внутренние дела, а также местные органы власти.
Исследователь компании ControlPlane Крис Несбитт-Смит проверил 349 программных баз 33 организаций. Примерно в двух третях из них он обнаружил недостатки безопасности. Для поиска он применял доступные потребительские версии моделей искусственного интеллекта Claude Opus и Sonnet на обычном ноутбуке и заявил, что многие проблемы можно было выявить при стандартной проверке IT-систем.
Наиболее опасный случай произошёл в Инспекторате по вопросам планирования, который занимается землепользованием в Англии. После случайной публикации данных для входа в открытом репозитории GitHub ведомство не полностью удалило одну из учётных записей. Эти данные могли предоставить широкие права на чтение и изменение всех сайтов SharePoint, личных хранилищ сотрудников OneDrive и некоторых материалов, включая кадровые документы и сведения по юридическим разбирательствам.
В ведомстве заявили, что его системы мониторинга обнаружили активность исследователя в августе. Уязвимость устранили в течение 20 минут после получения сообщения и проверили, что утечки данных не произошло. Представители Инспектората сообщили WIRED, что пересмотрели и усилили внутренние системы и процедуры.
Проверка также выявила проблемы в сервисах британского Министерства образования, включая платформы для закупок школами, подачи заявлений учителями и реестр поставщиков образовательных программ. Уязвимость нашли и в портале открытых данных правительства Шотландии: она позволяла читать административные сведения учётных записей и менять настройки сайта. Все перечисленные организации впоследствии устранили обнаруженные недостатки, однако исследователь предупредил, что простое закрытие доступа к исходному коду без исправления проблем может лишь скрыть уязвимости от специалистов.