Британские военные выложили в интернет свои ядерные секреты

Британские власти опубликовали в Сети ряд документов, в которых, помимо общедоступных сведений, содержалась секретная информация, представляющая собой военную тайну. Документы были официально опубликованы в интернете представителями Министерства обороны, Министерства здравоохранения и Департамента по делам общин и местного самоуправления в рамках Закона о свободе информации. Участки текста, содержащие государственные секреты, были закрыты сотрудниками министерств с помощью черного фона. Однако оказалось, что сам текст не был удален из документов и доступен всем желающим с помощью выделения и копирования из закрытых участков.



Как сообщает The Daily Telegraph, в документах содержалась в том числе информация о подводном флоте Британии. В частности, один из документов включал в себя отчет о том, что ядерные реакторы, использующиеся в британских подводных лодках, не так безопасны, как это принято считать. Аналитик перечислил ситуации, которые могут привести к «катастрофическим» последствиям. Документы также включают в себя некоторые секретные сведения об американских подводных лодках, передает CNews.

Представители Министерства обороны Британии признали факт утечки и сообщили о том, что уже заменили указанные документы их редактированными версиями. Однако, Daily Telegraph отмечает, что при просмотре других документов на сайтах этих ведомств были обнаружены аналогичные примеры, когда «закрытые» участки текста можно скопировать и вставить в текстовый редактор для прочтения.

Материалы, публикующиеся в Сети в рамках британского Закона о свободе информации, должны просматриваться и редактироваться сотрудниками государственных ведомств. Как отмечают эксперты, в данном случае ответственные за это сотрудники использовали программу Photoshop для того, чтобы закрывать части текста черным фоном. При этом сами секретные сведения из документов не удалялись, что и привело к утечке.

Помимо секретных сведений о ядерных подводных лодках, в опубликованных материалах также обнаружили список должностных лиц, ответственных за секретные документы об одном из военных проектов, данные о коммерческих переговорах Департамента по делам общин и местного самоуправления с частными компаниями, данные о заседаниях Министерства здравоохранения, письма от бизнес-лидеров в адрес Департамента по торговле и инвестициям и т.д.

«Британские власти допустили просто детскую ошибку, позволив любому человеку, обладающему элементарными знаниями о компьютерах, читать редактированные документы. В Сети существует множество руководств о том, как правильно редактировать PDF-документы», - отмечают эксперты компании Sophos.

Данный инцидент вызвал жесткую критику в адрес правительства со стороны многих людей, обвиняющих ведомства, допустившие утечку, в недобросовестном подходе к защите конфиденциальных данных. Патрик Мерсер (Patrick Mercer), представитель британской Консервативной партии, заявил, что планирует поднять вопрос безопасности государственных данных в Парламенте.

«Придумать более глупый способ защиты конфиденциальных данных, пожалуй, будет трудно. С учетом динамики утечек, которые произошли по вине британских военных за последний десяток лет, скоро любой желающий сможет спокойно изучать актуальные планы боевых действий по информации в открытом доступе,- прокомментировал Александр Ковалев, директор по маркетингу компании SecurIT. - В свете событий в Фукусиме и общей агрессивности прессы в Великобритании можно ожидать, что у виновных в этом инциденте скоро закончится не только карьера, но и спокойная личная жизнь».


Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Drupal устранили CSRF-уязвимости и обход ограничений на доступ

Разработчики Drupal выпустили обновления безопасности для веток 8.9, 9.1 и 9.2. В модулях ядра CMS-системы объявились пять уязвимостей; три из них грозят обходом ограничений по контенту на сайте, две — атакой CSRF (cross-site request forgery, подделка межсайтовых запросов).

Все новые проблемы признаны умеренно критичными; они получили от 10 до 14 баллов из 25 возможных по шкале CMSS. (На проекте используется система оценки, рекомендованная американским институтом стандартов и технологий — NIST).

Наиболее опасна CSRF-уязвимость CVE-2020-13674 (14 баллов по CMSS), связанная с работой модуля QuickEdit. Причиной ее появления является неадекватная проверка прав на изменение пути к файлу. Эксплойт в данном случае может привести к нарушению целостности данных.

Другая возможность CSRF (CVE-2020-13673) менее опасна, ее оценили в 10 баллов из 25. Она возникла из-за некорректной работы модуля Media, позволяющего встраивать внутренний и внешний медиаконтент в поля текущей страницы. Как оказалось, с помощью этого инструмента можно внедрить на страницу сторонний HTML-код от имени пользователя, обладающего правом доступа к фильтрам Media.

Уязвимость CVE-2020-13677 вызвана неспособностью модуля JSON:API строго ограничить доступ к некоторым видам контента. Проблема CVE-2020-13675 грозит загрузкой на сайт вредоносного файла при включенном модуле REST/File или JSON:API. В появлении CVE-2020-13676 повинен QuickEdit, который невнимательно проверяет разрешения на доступ к полям при редактировании контента.

Патчи включены в состав обновлений 9.2.6, 9.1.13 и 8.9.19. Седьмую версию Drupal эти проблемы не затрагивают; для Drupal 8 сборок ниже 8.9.x и Drupal 9 ниже 9.1.x заплаток не будет: срок поддержки таких версий истек.

Хотя эту CMS-систему используют лишь 1,4% сайтов в интернете, массовые атаки на сайты с использованием ее уязвимостей нередки. Пользователям настоятельно рекомендуется обновить свои установки.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru