Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

Уязвимости на сайте олимпиады МИФИ позволяют хакеру стать победителем

На сайте org.mephi.ru найдены уязвимости, использование которых позволяет участнику олимпиады «Росатом» заранее получить задачи, изменять ответы, а также получить доступ к сессиям и данным других пользователей. В МИФИ признали наличие ошибок в коде, временно закрыли сайт и ведут работы по поиску и латанию других брешей на портале.

В этом году из-за COVID-19 физико-математическая олимпиада школьников проводится в МИФИ онлайн. Участие в этом состязании дает старшеклассникам шанс попасть в вуз без вступительных экзаменов.

Уязвимости, о которых стало известно «Известиям», классифицируются как «внедрение SQL-кода» (SQLi) и «межсайтовый скриптинг» (XSS). Взлом сайта МИФИ через их эксплойт теоретически позволяет хакеру изменить результаты олимпиады в свою пользу.

Атаку на org.mephi.ru через цепочку уязвимостей, которую эксперты признали рабочей, можно провести за одну секунду. Взломщику достаточно заменить всего три символа в коде, и он получит доступ ко всем персональным данным олимпиады, а также сможет выгрузить задания.

Причиной появления уязвимостей SQLi и XSS обычно является неадекватная проверка / санация данных, вводимых пользователем. К сожалению, такие ошибки в проектах до сих пор широко распространены.

«При разработке сайтов и приложений вопросы безопасности, увы, всегда на втором плане, — сетует глава ИБ-отдела «СёрчИнформ» Алексей Дрозд, комментируя находку для «Известий». — В первую очередь стоит вопрос функциональности. И хотя принцип secure by design часто декларируется разработчиками, на деле реализуется в лучшем случае по остаточному принципу».

Вместе с тем эксперт считает, что риска массового использования этих уязвимостей нет. МИФИ же, скорее всего, понесет имиджевые потери.

Получив информацию о находках, ИБ-служба МИФИ подтвердила наличие ошибок в коде используемых проектов.

«Информируем вас об оперативной реакции профильных служб университета на вышеуказанный сигнал редакции о том, что “сайт подвержен SQL-инъекциям и XSS-уязвимостям”, и о незамедлительной работе по выявлению потенциальных уязвимостей на портале НИЯУ МИФИ», — пишет представитель вуза в ответ на запрос «Известий».

Уязвимый сайт МИФИ в настоящее время находится вне доступа. На странице-заглушке размещено следующее сообщение: «Уважаемые школьники! На сайте org.mephi.ru ведутся технические работы, сайт временно недоступен. Срок завершения предварительных туров олимпиад при необходимости будет продлен».

Минус 2,58 млрд: Счётная палата проверила отчётность операторов связи

Операторы связи сдавали Минцифры расчёты с доходами, существенно отличавшимися от налоговой отчётности, а министерство ограничивалось арифметической проверкой итоговых строк. По оценке Счётной палаты, за 2023-2025 годы резерв универсального обслуживания недополучил 2,58 млрд рублей.

Об итогах аудита сообщает РБК. Размер обязательных отчислений операторы рассчитывают сами.

Минцифры не сверяло расчёты с первичными документами, данными ФНС и Роскомнадзора. Обязательный порядок мониторинга к 20 июня 2026 года тоже не утвердили. Цифры складываются? Отлично. А откуда они взялись — отдельный вопрос.

Масштаб расхождений впечатляет. За 2024 год из 4,6 тыс. действующих операторов с отклонением менее 1% отчитались только 472 компании. У 600 операторов доходы по данным ФНС оказались более чем на 80% выше указанных в расчётах отчислений. Ещё у 1,2 тыс. компаний заявления об отсутствии доходов не совпали с данными Роскомнадзора.

Впрочем, записывать всех в уклонисты рано. Аудиторы обнаружили неоднозначности в учёте выручки. Например, дата-центры, сервисы СМС-рассылок и аутентификации могут зарабатывать преимущественно на деятельности, которая не относится к услугам связи. Эксперты предупреждают: считать всю такую выручку операторской — методологическая ошибка.

Основную нагрузку несут крупнейшие игроки: в 2025 году всего 50 операторов обеспечили 93% отчислений.

Минцифры возражений на отчёт не подало. Ведомство сообщило, что порядок мониторинга уже разработан и вскоре отправится на согласование, а недоплаты взыскиваются через суд. Прогноз поступлений на 2026 год министерство повысило с 28,9 млрд до 34,4 млрд рублей, объяснив это ростом доходов операторов.

RSS: Новости на портале Anti-Malware.ru