Des failles dans des sites publics britanniques

LLéna

Le chercheur en sécurité Chris Nesbitt-Smith a identifié plus de 100 vulnérabilités sérieuses dans du code public de l’administration britannique, selon Wired. Son analyse a porté sur 349 dépôts de code publiés par 33 organisations ; des failles ont été repérées dans environ deux tiers des dépôts examinés, ce qui donne l’ampleur des problèmes constatés dans cet échantillon. Pour chercher ces vulnérabilités, Nesbitt-Smith a utilisé les modèles d’intelligence artificielle Claude Opus et Sonnet, accessibles au grand public, sur un ordinateur portable. La faille la plus grave, au Planning Inspectorate, aurait pu permettre de lire et de modifier l’ensemble des sites SharePoint et des comptes OneDrive privés du personnel. L’accès aurait aussi pu concerner des dossiers de ressources humaines et des éléments protégés par une conservation légale, donc des données internes sensibles. Le Planning Inspectorate affirme avoir détecté l’activité du chercheur en août, puis avoir corrigé la faille dans les 20 minutes suivant son signalement ; l’agence dit avoir vérifié qu’aucune fuite de données n’avait eu lieu. Selon Amanda Brock, directrice générale d’OpenUK, cet incident relève d’un défaut de gestion interne et non d’un problème propre aux logiciels open source ; les vulnérabilités mettent ainsi en évidence des enjeux de sécurité et de maintenance dans les pratiques des organismes concernés, sans établir que le code ouvert en est la cause.