В форматах ДНК-файлов .fsa и .hid нашли уязвимость подмены данных

Коротко: Thermo Fisher закрыла уязвимость CVE-2026-17583 в софте для анализа ДНК. Из-за неё файлы форматов .fsa и .hid, на которых строится криминалистическая экспертиза, можно было незаметно подменить между выгрузкой из прибора и загрузкой в программу — они не имели защиты от изменения. Исправление добавляет цифровую подпись, по которой лаборатория увидит правку.

Что произошло

В конце июля 2026 года компания Thermo Fisher Scientific выпустила обновления безопасности для нескольких продуктов линейки Applied Biosystems Human Identification — это ПО, которым лаборатории по всему миру пользуются для ДНК-профилирования и идентификации личности. Поводом стала уязвимость CVE-2026-17583 с оценкой 8.2 из 10 по шкале CVSS 4.0 (высокий уровень). Она затрагивает не сами приборы, а выходные файлы форматов .fsa и .hid, которые эти приборы и программы создают.

Суть проблемы в том, что такой файл можно изменить уже после того, как прибор его сформировал, но до того, как эксперт загрузит его в аналитическую программу — и правка останется практически незаметной. Проще говоря, результат генетической экспертизы опирался на файл, у которого не было надёжного способа доказать, что его никто не трогал.

Что за файлы .fsa и .hid

Это узкоспециальные форматы из мира генетического анализа, и за пределами лабораторий их почти не встретишь — поэтому коротко объясним, что внутри.

• .fsa — файл «сырых» данных капиллярного электрофореза. По сути это набор кривых флуоресценции: прибор Applied Biosystems записывает, как во времени светятся разные красители, а из этих пиков потом вычисляют длины фрагментов ДНК. Формат — вариант хорошо известного научного контейнера ABIF, родственника формата .ab1 для секвенирования.
• .hid — файл того же типа, но помеченный именно под задачи идентификации человека (human identification). В нём лежат данные, по которым строят ДНК-профиль для криминалистики и установления родства.

Ключевой момент: оба формата хранят первичные измерения, из которых уже программно получают профиль. Если подменить числа на этом уровне, «наверху» всё будет выглядеть как обычный, корректно посчитанный результат. А поскольку форматы используются десятилетиями, речь идёт об огромном массиве накопленных данных.

Открыть или прочитать такой файл вручную обычными офисными программами нельзя — это бинарный научный формат, и работают с ним только специализированные приложения генетического анализа. Именно поэтому подмена на уровне сырых данных так трудно заметна на глаз.

Как устроена уязвимость

Дыра не в хитром переполнении буфера, а в отсутствии базовой вещи — защиты файла от изменения (tamper-evidence). У форматов .fsa и .hid не было встроенной подписи или контрольного признака, по которому программа могла бы понять, что содержимое правили. Один из авторов находки, инженер Forensic Bioinformatics Натан Адамс, описал это так: подобные файлы «не имеют даже того уровня защиты от вскрытия, который мы требуем от бумажного пакета с уликами».

Чтобы показать реальность угрозы, исследователи (Натан Адамс, Кевин Дайер и Лаура Гейдош Комбс совместно с американским агентством CISA) собрали рабочий инструмент правки. По их словам, первый работающий вариант кода Адамс написал примерно за 45 минут с помощью ИИ-ассистента Claude от Anthropic — этот код «сшил» ДНК-профили двух разных людей в один файл, который выглядел нетронутым с 2015 года и не вызвал у программы ни одного предупреждения. Для эксплуатации нужен доступ к файлам между их созданием и анализом, то есть обход лабораторных процедур, — но сам факт, что подмену нельзя обнаружить техническими средствами, и есть главная проблема.

Почему это важно

По оценке исследователей, из-за долгой истории форматов уязвимость потенциально касается около 30 лет накопленных ДНК-данных, применявшихся в том числе в расследованиях. При этом важно не паниковать: на момент публикации Thermo Fisher заявила, что не знает о случаях эксплуатации в реальных делах, а независимые проверки не нашли следов подделки в конкретных экспертизах. Речь о потенциальном риске и о том, как его закрыли, а не о доказанной фальсификации улик.

Как чинят и что это значит для работы с файлами

Исправление концептуально простое: в пять поддерживаемых продуктов добавили цифровую подпись файлов. Теперь при генерации .fsa и .hid получают криптографический признак, и лаборатория может проверить, менялся ли файл после выгрузки из прибора. Три продукта сбора данных, снятые с поддержки (end-of-life), обновление не получат — их пользователям придётся полагаться на организационные меры.

Для всех, кто работает с файлами, здесь есть практический смысл, выходящий далеко за криминалистику:

1. Целостность — это отдельное свойство файла. То, что файл открывается и «выглядит нормально», не значит, что его не правили. Гарантию даёт только цифровая подпись или сверка контрольной суммы (хеша) с эталоном.
2. Проверяйте подпись там, где она есть. Дистрибутивы, обновления, важные документы часто снабжают хешами SHA-256 или электронной подписью — их стоит сверять, а не игнорировать. Это тот самый механизм, которого не хватало форматам .fsa и .hid.
3. Помните про «невидимые» слои файла. Данные могут прятаться не только в основном содержимом — как, например, скрытые метаданные EXIF в фотографиях. Полезно понимать, что за формат файла перед вами и что именно в нём хранится.

Базовые правила безопасной работы с загрузками, вложениями и резервными копиями собраны в разделе безопасность файлов. История с ДНК-файлами лишь в очередной раз показывает: доверять файлу можно ровно настолько, насколько он способен доказать, что остался неизменным.

Источники

• The Hacker News — Thermo Fisher Patches Flaw That Could Make DNA File Tampering Nearly Undetectable
• Hackread — Thermo Fisher Patches Forensic DNA File Tampering Flaw in Its Software
• The Next Web — A flaw in crime-lab software let AI rewrite DNA evidence in 45 minutes, without a trace