Hơn 100 lỗ hổng trong mã nguồn chính phủ Anh

Hơn 100 lỗ hổng trong mã nguồn công khai của chính phủ Anh

Một nhà nghiên cứu bảo mật đã tìm ra hơn 100 lỗ hổng nghiêm trọng trong các kho mã nguồn công khai của chính phủ Anh, khiến dữ liệu nhạy cảm bị đe dọa vì thói quen vệ sinh an ninh mạng kém. Đáng chú ý, ông phát hiện các lỗi này bằng các mô hình AI phổ thông chạy trên laptop, cho thấy nhiều vấn đề lẽ ra đã bị chặn bởi một đợt kiểm tra IT định kỳ.

Phát hiện bằng AI phổ thông

Khoảng một thập kỷ nay, chính phủ Anh mặc định công khai mã nguồn do mình tạo ra bằng tiền thuế, nhằm minh bạch và cho phép tái sử dụng mã với chi phí thấp. Việc này diễn ra tại nhiều cơ quan, gồm Bộ Y tế và Chăm sóc Xã hội, Bộ Nội vụ, cùng các chính quyền địa phương.

Tuy nhiên, áp lực ngân sách khiến các cơ quan sao nhãng việc bảo trì và cải tiến hạ tầng công nghệ. Nhà nghiên cứu bảo mật Chris Nesbitt-Smith của ControlPlane đã dùng các mô hình Claude Opus và Sonnet để rà soát mã. Ông khẳng định mình chỉ dùng phiên bản dành cho người dùng phổ thông trên laptop, và nhiều lỗi có thể bị phát hiện thông qua kiểm tra IT thông thường.

"Không có gì ở mức độ tinh vi như các cuộc tấn công mạng mà truyền thông thường lo ngại. Tất cả đều là những sai sót ngớ ngẩn."

Trường hợp nghiêm trọng nhất

Trong số các lỗ hổng, nghiêm trọng nhất nằm ở Planning Inspectorate, cơ quan xử lý các vấn đề sử dụng đất trên khắp nước Anh. Cơ quan này đã không xóa hoàn toàn thông tin đăng nhập sau khi vô tình đưa chúng lên kho lưu trữ công khai GitHub.

Do thông tin đăng nhập cấp quyền truy cập rất rộng và dường như không hết hạn, cộng với việc bị công bố nhầm, mức độ nguy hiểm càng tăng. Theo Nesbitt-Smith, Microsoft Entra ID (dịch vụ quản lý định danh và truy cập của Microsoft) bị lộ sẽ cho quyền đọc và ghi ở mức "thượng đẳng" (god-tier) với toàn bộ các site SharePoint và tài khoản OneDrive cá nhân của nhân viên, gồm cả hồ sơ nhân sự. Nó cũng mở quyền tới các thư viện nhạy cảm đang lưu giữ bằng chứng trong các cuộc điều tra và kháng cáo quy hoạch theo luật định.

"Khả năng mã hóa tống tiền (ransomware), mã hóa toàn bộ dữ liệu, hoặc chỉ đơn giản là đánh cắp hết dữ liệu, đều có sẵn rất rõ ràng."

Người phát ngôn của Planning Inspectorate nói với WIRED rằng công cụ giám sát không gian mạng đã phát hiện hoạt động của Nesbitt-Smith ngay trong tháng 8, và cơ quan đã xử lý như một sự cố an ninh mạng trước khi ControlPlane liên hệ. Lỗ hổng được xác định và khắc phục trong vòng 20 phút sau báo cáo, đồng thời xác minh không có rò rỉ dữ liệu. Cơ quan cho biết đã rà soát và tăng cường hệ thống, quy trình để ngăn tái diễn.

Không phải lỗi của mã nguồn mở

Amanda Brock, giám đốc điều hành tổ chức phi lợi nhuận OpenUK, nhận định sự cố tại Planning Inspectorate "không liên quan đến mã nguồn mở mà là việc dọn dẹp nội bộ khi dùng các công cụ công khai". Bà nói dữ liệu bị lộ do không tuân thủ quy trình tốt, chứ không phải vấn đề an ninh của mã nguồn mở.

Trong số 349 kho mã của khu vực công thuộc 33 tổ chức mà Nesbitt-Smith quét, khoảng hai phần ba có lỗ hổng. Một số nằm trong mã của Bộ Giáo dục, gồm dịch vụ mua sắm dùng cho các trường học, dịch vụ ứng tuyển giáo viên chứa thông tin cá nhân, bằng cấp, lịch sử việc làm và giấy tờ tùy thân, cùng sổ đăng ký chính của nước Anh về các nhà cung cấp đào tạo và học nghề được nhà nước tài trợ. Ông cũng phát hiện lỗ hổng tại cổng dữ liệu mở của chính phủ Scotland, cho phép bất kỳ khách truy cập nào đọc thông tin tài khoản quản trị và thay đổi cấu hình trang. Các tổ chức sau đó đã xử lý những vấn đề này.

Tranh luận về việc ngừng công khai mã nguồn

Gần đây xuất hiện ý kiến kêu gọi các cơ quan khu vực công ngừng công khai mã nguồn, trong bối cảnh AI đẩy nhanh việc phát hiện lỗ hổng. Theo báo cáo, dịch vụ y tế quốc gia Anh (NHS) đã yêu cầu các đội công nghệ chuyển dịch khỏi mã nguồn mở vào tháng 5 vì lo ngại an ninh trước tác động của các mô hình AI.

Theo Nesbitt-Smith, làm vậy mà không khắc phục ngay các vấn đề gốc là "kịch bản tồi tệ nhất", vì nó ngăn các nhà nghiên cứu như ông tìm ra lỗi, trong khi kẻ tấn công nhiều khả năng đã sao chép các kho mã này và vẫn giữ quyền truy cập.

"Trừ khi bạn định sửa hết mọi vấn đề, nếu không thì việc đóng cửa có khi còn khiến mọi thứ bị chú ý hơn, bởi vì bạn giống như đang nói: 'Chỗ này có rồng đấy. Nhưng làm ơn đừng nhìn vào.'"

Góc nhìn

Câu chuyện này cho thấy rủi ro lớn nhất thường không đến từ kỹ thuật tấn công tinh vi, mà từ những sơ suất cơ bản: thông tin đăng nhập bị đưa nhầm lên kho công khai, quyền truy cập quá rộng và không có cơ chế hết hạn. Với các đội phát triển và doanh nghiệp Việt Nam, đây là lời nhắc về việc quét bí mật (secret scanning) trong pipeline CI/CD, thu hẹp quyền theo nguyên tắc tối thiểu (least privilege) và xoay vòng khóa định kỳ.

Việc dùng mô hình AI phổ thông để rà soát mã cũng cho thấy các công cụ hỗ trợ phát hiện lỗ hổng ngày càng dễ tiếp cận hơn. Thay vì đóng cửa mã nguồn, việc duy trì quy trình kiểm tra định kỳ và vá lỗi kịp thời có vẻ là hướng đi thực tế hơn — vì đóng cửa không làm lỗ hổng biến mất, chỉ khiến nó khó bị phát hiện hơn.