英国政府各网站的安全漏洞暴露“神级”信息

判断

英国政府部门——尤其是规划督察局和NHS——必须决定：是继续公开代码并为日常卫生提供资金，还是关闭代码库而不修复漏洞、失去外部审查；仅关闭无法收回对手可能已持有的副本。

依据

Chris Nesbitt-Smith 在 33 个组织的 349 个公共部门代码库中发现 100 多个严重漏洞；约三分之二的代码库存在缺陷。在规划督察局，意外提交到 GitHub 的凭据让 Microsoft Entra ID 获得对 SharePoint 站点、私人 OneDrive 账户、人力资源记录和法律保留库的“神级”读写权限。该机构称，其监控发现了他在 8 月的活动，在接到报告后 20 分钟内修复了问题，并核实没有数据泄露。Amanda Brock 说，此案是内部日常管理问题，不是开源安全问题。Nesbitt-Smith 认为，关闭代码库而不修复是“最坏情况”，因为对手很可能已镜像代码，因此关闭可能掩盖漏洞而不消除访问权限。