Birleşik Krallık hükümet sitelerinin açık kaynak kodunda 100'den fazla ciddi güvenlik açığı bulundu

Güvenlik araştırmacısı Chris Nesbitt-Smith, 33 kuruluşa ait 349 kod tabanının yaklaşık üçte ikisinde sorun tespit etti; en ciddi vaka, Planning Inspectorate'in GitHub'a yanlışlıkla yüklediği bir oturum açma bilgisiydi.

Güvenlik araştırmacısı Chris Nesbitt-Smith, Birleşik Krallık hükümetinin herkese açık olarak yayımladığı kodda 100'den fazla ciddi güvenlik açığı bulduğunu bildirdi. Bu açıklar, bakımın aksaması nedeniyle hassas bilgilerin açığa çıkmasına yol açıyor.

ControlPlane şirketinden Nesbitt-Smith, bir dizüstü bilgisayarda tüketici yapay zekâ modelleri kullanarak 33 kuruluşa ait 349 kod tabanını taradı. Taranan kodların yaklaşık üçte ikisinde sorun bulundu.

En ciddi vaka, Planning Inspectorate'e ait bir oturum açma bilgisiyle ilgiliydi. Bu bilgi, GitHub'daki herkese açık depoya tamamen kaldırılmadan yüklenmişti. Açık, Microsoft Entra ID'ye tam okuma ve yazma erişimi sağlayabilirdi; bu erişim SharePoint sitelerinin tamamını ve çalışanlara ait özel OneDrive hesaplarını da kapsayacaktı.

Kurum, izleme sistemlerinin etkinliği ağustos ayında fark ettiğini, açığın 20 dakika içinde kapatıldığını ve herhangi bir veri ihlali yaşanmadığını açıkladı.

Nesbitt-Smith, altta yatan hatalar onarılmadan kamuya açık kodun geri çekilmesinin durumu daha da kötüleştireceğini savunuyor. Bunun nedeni, araştırmacıların açıkları bulamaması ve saldırganların kodun kopyalarını zaten elinde tutmuş olabilmesi.