Lỗ hổng trên các website chính phủ Anh làm lộ dữ liệu và quyền truy cập nhạy cảm

Tóm tắt nhanh

• Nhà nghiên cứu Chris Nesbitt-Smith phát hiện lỗ hổng trên khoảng 2/3 trong 349 codebase công khai của 33 tổ chức khu vực công ở Anh. Ông dùng Claude Opus và Sonnet trên laptop, và nói nhiều lỗi lẽ ra có thể bị phát hiện bằng kiểm tra IT định kỳ.
• Trường hợp nghiêm trọng nhất là Planning Inspectorate, cơ quan xử lý các vấn đề sử dụng đất ở Anh. Một tài khoản Microsoft Entra ID bị để lộ từng có quyền đọc/ghi gần như toàn bộ SharePoint và OneDrive của nhân viên, gồm cả hồ sơ HR.
• Theo Nesbitt-Smith, quyền truy cập đó còn mở đến các thư mục nhạy cảm lưu bằng chứng phục vụ điều tra và kháng nghị quy hoạch theo yêu cầu pháp lý. Ông nói kẻ xấu có thể mã hóa dữ liệu để tống tiền hoặc lấy cắp toàn bộ dữ liệu.
• Planning Inspectorate cho biết công cụ giám sát an ninh của họ đã phát hiện hoạt động của nhà nghiên cứu ngay trong tháng 8. Cơ quan này sửa lỗ hổng trong 20 phút sau khi nhận báo cáo và nói chưa xảy ra rò rỉ dữ liệu.
• Amanda Brock của OpenUK nói vụ việc này không phải vấn đề của open source mà là lỗi quản trị nội bộ khi dùng công cụ công khai. Bà cho rằng dữ liệu bị lộ vì quy trình kém, không phải do bản thân mã nguồn mở không an toàn.
• Trong số các lỗi khác, Nesbitt-Smith phát hiện vấn đề trong code của Department of Education. Các hệ thống bị ảnh hưởng gồm dịch vụ mua sắm cho trường học, dịch vụ nộp đơn cho giáo viên chứa thông tin cá nhân, bằng cấp, lịch sử việc làm và giấy tờ định danh.
• Ông cũng tìm thấy lỗ hổng ở cổng dữ liệu mở của chính phủ Scotland. Lỗi này có thể cho phép bất kỳ ai đọc thông tin tài khoản quản trị và thay đổi cấu hình website.
• Nesbitt-Smith cho rằng việc ngừng công bố mã nguồn mà chưa vá lỗi sẽ là kịch bản tệ nhất. Ông nói kẻ tấn công có thể đã sao chép sẵn các repository này, nên vẫn có thể tiếp tục truy cập ngay cả khi chúng bị gỡ xuống.
• Gần đây đã có tranh luận rằng các bộ ngành nên ngừng công khai source code vì AI giúp phát hiện lỗ hổng nhanh hơn. Theo bài viết, NHS từng được báo cáo là đã yêu cầu các đội công nghệ chuyển khỏi open source code vào tháng 5 vì lo ngại an ninh.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.