Pētnieki atklāj vairāk nekā 10 000 neaizsargātu Polijas valsts iestāžu tīmekļa vietņu
Divi Polijas kiberdrošības pētnieki Def Con konferencē paziņoja, ka atklājuši ap 250 000 tīmekļa vietņu ar drošības nepilnībām, tostarp lidostu, slimnīcu un tiesu sistēmās. Trūkstoša ražotāju atbildība un ziņošanas mehānismu neesamība ļāvusi ievainojamībām pastāvēt ilgstoši nepamanītām.
Polijas kiberdrošības pētnieki Roberts Kručeks un Kamils Ščurovskis Las Vegasā notiekošajā Def Con konferencē prezentēja rezultātus plašam pētījumam par savas valsts publiskā interneta segmenta drošību. Viņu motivācija bijusi patriotisms un vēlme padarīt Polijas digitālo vidi drošāku.
Pētnieki secinājuši, ka vairāk nekā 10 000 valsts iestāžu un aptuveni 250 000 ar tām saistītu tīmekļa vietņu satur drošības trūkumus, kas varētu tikt izmantoti uzbrukumiem. Skarto organizāciju vidū ir lidostas, slimnīcas un valdības iestādes.
Novecojusi programmatūra un ignorēti brīdinājumi
Viena no galvenajām problēmām esot novecojusi vai vairs neatbalstīta programmatūra, ko izmanto daudzas iestādes, kā arī bug bounty programmu un skaidru ziņošanas kanālu trūkums drošības kļūdu identificēšanai. Pētnieki norādījuši, ka dažas ievainojamības bijušas viegli izmantojamas, taču atsevišķi programmatūras piegādātāji tās vērtējuši vienkārši kā neērtību, nevis nopietnu risku.
Viņi atklāja kritiskas nepilnības plaši izmantotajā satura pārvaldības sistēmā Pad CMS, kas ļāva bez paroles piekļūt vairāk nekā 300 publiskām tīmekļa vietnēm. Programmatūras izstrādātājs kļūdas nebija novērsis, jo produkts sasniedzis dzīves cikla beigas un vairs netiek atbalstīts. Cita atklāta kļūda pavēra piekļuvi aptuveni divām trešdaļām Polijas tiesu sistēmas jeb ap 245 tiesu tīmekļa vietnēm.
Pētījums nāk laikā, kad Polija cenšas stiprināt savu kiberaizsardzību pēc virknes aizdomīgu, iespējams, Krievijas izcelsmes uzbrukumu, kas vērsti pret valsts enerģētikas un ūdensapgādes uzņēmumiem, daļēji izmantojot vājas kiberdrošības sistēmas.
Kručeks un Ščurovskis atklātās nepilnības ziņojuši valsts iestādēm oficiālos kanālos. Pētnieki uzsvēra, ka centieni bijuši vērti, jo pēc to veiktā darba Polijas digitālā vide kļuvusi nedaudz drošāka.
