北京
2024年，安全研究員Arkadeep Roy發現了一個觸目驚心的漏洞：一個包含超過7萬份美軍敏感文件的目錄，正通過開放的目錄列表漏洞（Open Directory Listing Vulnerability）對外暴露。他立即向美國網絡安全與基礎設施安全局（CISA）報告。然而，這個警告并未奏效——直到2026年4月，這些數據仍在持續泄露。
Cybernews團隊在今年3月收到線報后介入調查。3月16日，他們接到關于該暴露數據庫的提示；次日啟動調查；18日確認漏洞屬實，并同步通報給涉事承包商CMI Management及CISA。令人意外的是，CMI Management最初并未回應。
泄露的文件歸屬CMI Management Inc.，這是一家隸屬于Dexterra Group的美國政府設施服務承包商。據其官網描述，該公司長期管理"從培訓中心到關鍵任務設施"的各類政府場所。此次暴露的內容包括軍事人員記錄、承包商檔案，以及基地內部拍攝的照片——涵蓋維護表單、員工往來郵件和基礎設施影像。
技術層面，問題根源在于雙重失守：開放目錄列表漏洞本身，疊加目錄安全控制措施的缺失。這意味著任何掌握路徑的人無需認證即可瀏覽、下載全部文件。Cybernews公布的示例圖片經過重度打碼處理，但仍能看出文件類型的敏感性。
時間線暴露出一個尷尬現實：從2024年首次發現到2026年仍在泄露，這個漏洞存活了至少一年多。CISA作為聯邦網絡安全主管部門，其警告未能推動修復，而承包商層面的響應同樣遲緩。對于管理"關鍵任務設施"的服務商而言，這種安全響應速度與其業務性質形成鮮明反差。
事件也折射出政府供應鏈安全的深層隱患。CMI Management并非直接軍事機構，而是層層外包體系中的一環。當敏感數據分散在承包商系統中，安全責任邊界變得模糊，漏洞修復的優先級往往被稀釋。7萬份文件的裸奔，最終成為這種結構性風險的具象化案例。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
