Dirk Boeing

Vulnerabilità nei processori: strategie per mitigare i rischi hardware

Le falle di sicurezza informatica nell’ambito IT si presentano in diverse forme. Tra le più comuni figurano le vulnerabilità legate a software non aggiornati, password deboli, configurazioni errate e l’utilizzo di switch di rete obsoleti. Tuttavia, un tipo di esposizione che spesso genera confusione durante le scansioni riguarda le vulnerabilità hardware.

Abbiamo imparato a convivere con la continua scoperta di vulnerabilità software. Per garantire una sicurezza informatica affidabile, ormai è prassi consolidata per ogni azienda (o almeno si spera) eseguire regolarmente scansioni della rete per identificare tali vulnerabilità e applicare le relative patch. Tuttavia, non sono solo gli sviluppatori di software a commettere errori: anche i processori possono contenere difetti. Le vulnerabilità nei chip spesso derivano da errori di progettazione che permettono a malintenzionati di sfruttare effetti collaterali imprevisti per accedere a dati sensibili. A differenza delle vulnerabilità software, generalmente correggibili con patch o aggiornamenti, quelle hardware richiedono aggiornamenti del microcodice o, in alcuni casi, modifiche strutturali nei progetti futuri dei processori.

Aggiornamenti del microcodice

L’unico metodo per risolvere le vulnerabilità della CPU e continuare così a garantire la sicurezza informatica è l’applicazione di aggiornamenti del microcodice, normalmente distribuiti tramite il sistema operativo o, in alcuni casi, attraverso il firmware (UEFI/BIOS). Il microcodice rappresenta un livello software all’interno del processore che traduce i comandi di alto livello in operazioni interne specifiche.

Anche se gli utenti finali generalmente non aggiornano il microcodice autonomamente, produttori come Intel forniscono update mirati per correggere alcune vulnerabilità, evitando la necessità di sostituire completamente l’hardware. Tuttavia, tali aggiornamenti possono comportare una diminuzione delle prestazioni, poiché disattivano o modificano alcune ottimizzazioni della CPU per prevenire il rischio di sfruttamento. In alcuni casi, questo può anche causare fino a un 50% di riduzione delle prestazioni.

Vulnerabilità su più fronti

Poiché queste vulnerabilità si trovano a livello di CPU, vengono rilevate e segnalate da tool come Greenbone Enterprise Appliance. Tuttavia, questo può generare confusione, poiché gli utenti potrebbero erroneamente pensare che le vulnerabilità segnalate riguardino il sistema operativo. È fondamentale comprendere che non si tratta di falle di sicurezza informatica nel sistema operativo, ma di difetti architetturali all’interno del processore stesso.

Le vulnerabilità vengono rilevate verificando la presenza delle patch di microcodice appropriate per la CPU identificata. Ad esempio, se una scansione rileva un sistema privo dell’aggiornamento del microcodice Intel per Downfall, viene segnalato come vulnerabile. Tuttavia, questo non implica che il sistema operativo stesso sia insicuro o la sicurezza informatica in generale sia a rischio.

Performance o sicurezza?

Per gestire le vulnerabilità della CPU è sempre necessario scendere a compromessi, e gli utenti devono scegliere l’approccio più adatto alle loro esigenze per garantire una sicurezza informatica ottimale. In generale, le opzioni disponibili sono tre:

  • Applicare gli aggiornamenti del microcodice, accettando una possibile riduzione delle prestazioni, soprattutto per i carichi di lavoro ad alta intensità di calcolo.
  • Evitare alcuni aggiornamenti del microcodice, assumendosi il rischio qualora la probabilità di sfruttamento nell’ambiente in uso sia considerata bassa.
  • Sostituire l’hardware interessato con CPU non affette da queste vulnerabilità.

In ultima analisi, la scelta dipende dal caso d’uso specifico e dal livello di tolleranza al rischio dell’organizzazione o dei singoli responsabili.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

CVE-2024-54085 con CVSS 10: AMI BMC a rischio di compromissione remota

Di recente, nel software MegaRAC BMC (Baseboard Management Controller) di American Megatrends International (AMI) è stata identificata la falla di sicurezza CVE-2024-54085, valutata con il punteggio di rischio CVSS 10, il più elevato possibile. Questa vulnerabilità consente agli aggressori di bypassare i meccanismi di autenticazione e accedere ai sistemi vulnerabili. Considerando il ruolo predominante di AMI nella supply chain delle schede madri, numerosi fornitori hardware di rilievo potrebbero essere coinvolti. Oltre a una dichiarazione tecnica, è disponibile un Proof-of-Concept (PoC) dettagliata, il che indica che la vulnerabilità non è più solo un rischio teorico.

Utilizzando il Proof of Concept (PoC) disponibile, gli aggressori possono creare un account di servizio sulla console di gestione Redfish, ottenendo così accesso non autenticato a tutte le funzionalità remote di BMC. L’exploit è stato verificato su dispositivi come HPE Cray XD670, Asus RS720A-E11-RS24U e ASRockRack. Sebbene questa CVE sia stata pubblicata nel 2025, l’ID (CVE-2024-54085) è stato probabilmente riservato già nel 2024.

La CVE-2024-54085 permette agli aggressori di:

  • compromettere il server, assumerne il controllo totale e gestirlo da remoto
  • installare software malevolo, inclusi ransomware​
  • modificare il firmware
  • rendere inutilizzabili componenti della scheda madre (BMC o anche BIOS/UEFI) ​
  • causare danni hardware, ad esempio sovratensioni
  • indurre il server in cicli di riavvio continui, causando interruzioni prolungate del servizio (DoS).

Greenbone è in grado di individuare un server colpito attraverso test di vulnerabilità remoti che rilevano attivamente BMC esposti.

Impatto potenziale

L’interfaccia Redfish, utilizzata nel MegaRAC BMC di AMI, è una delle numerose soluzioni BMC che supportano la gestione remota dei server. Lo standard Redfish si è affermato nel mercato dei server aziendali come sostituto moderno di interfacce di gestione obsolete come l’IPMI. La vulnerabilità ha un impatto significativo su tutti i prodotti che utilizzano AMI MegaRAC, inclusi dispositivi OT, IoT e IT.  In passato, vulnerabilità simili in MegaRAC hanno interessato prodotti di numerosi produttori, tra cui Asus, Dell, Gigabyte, Hewlett Packard Enterprise (HPE), Lanner, Lenovo, NVIDIA e Tyan. AMI ha rilasciato patch per questa vulnerabilità l’11 marzo 2025. HPE e Lenovo hanno già distribuito aggiornamenti per i loro prodotti interessati.

Aspetti tecnici di CVE-2024-54085

La vulnerabilità CVE-2024-54085 è un difetto critico individuato nello stack firmware SPx (Service Processor) di AMI, componente chiave della soluzione MegaRAC BMC. I BMC (Baseboard Management Controller) sono microcontroller integrati nelle schede madri dei server che permettono la gestione e il monitoraggio remoto, anche quando il sistema è spento o non risponde.

La CVE-2024-54085 è classificata come “bypass dell’autenticazione tramite spoofing” [CWE-290]. Questo tipo di vulnerabilità si verifica quando un sistema utilizza informazioni facilmente falsificabili, come l’indirizzo IP del client, per autenticare le richieste. Sebbene la raccomandazione di AMI fornisca pochi dettagli, i ricercatori di Eclypsium, ai quali è attribuita la scoperta, hanno pubblicato un articolo dettagliato che ne spiega le cause. La vulnerabilità CVE-2024-54085 deriva dall’utilizzo dell’indirizzo IP come metodo di autenticazione. Nello specifico, la logica di controllo degli accessi basata su Lua nell’interfaccia Redfish utilizza le intestazioni HTTP, come X-Server-Addr o Host, per determinare se una richiesta HTTP è interna o esterna; le richieste interne vengono automaticamente considerate autenticate.

Nei sistemi BMC come MegaRAC, “l’interfaccia host” rappresenta la connessione, sia fisica che logica, tra il BMC e il server principale (l’host). Questa connessione può essere paragonata all’interfaccia di loopback (spesso denominata lo), comunemente associata all’indirizzo IP 127.0.0.1 e al nome host localhost. Nel contesto di MegaRAC, all’interfaccia che collega il chip BMC all’host viene assegnato un indirizzo IP dalla gamma Link-Local, specificamente nell’intervallo 169.254.0.0 fino a 169.254.255.255). Inoltre, questo indirizzo IP è incluso in un elenco di indirizzi considerati attendibili durante il processo di autenticazione HTTP di MegaRAC; pertanto, un attaccante che riesca a falsificare questo indirizzo può eludere l’autenticazione. Attraverso reverse engineering del firmware MegaRAC, i ricercatori hanno identificato che l’indirizzo Link-Local 169.254.0.17 viene utilizzato su più chip BMC.

L’errore è dovuto all’implementazione di un’espressione regolare che estrae il testo dall’intestazione HTTP X-Server-Addr fino al primo due punti e verifica se corrisponde agli indirizzi IP attendibili memorizzati in un database Redis. I chip BMC utilizzano Lighttpd come server web incorporato, che aggiunge automaticamente un’intestazione X-Server-Addr con l’indirizzo IP dell’istanza Redfish. Se una richiesta include già l’intestazione fornita dal client, Lighttpd concatena il proprio valore a quello ricevuto. Questo permette a un attaccante di inviare un’intestazione appositamente modificata, manipolando così il valore estratto dall’espressione regolare. Fornendo un valore X-Server-Addr corrispondente all’indirizzo Link-Local del sistema host seguito da due punti (ad esempio, 169.254.0.17:), un malintenzionato può indurre il BMC a interpretare la richiesta come proveniente dall’interfaccia host interna, bypassando completamente l’autenticazione.

Una volta bypassata l’autenticazione, il resto della richiesta HTTP viene elaborato normalmente, consentendo all’attaccante di eseguire qualsiasi azione API disponibile. Ciò include la creazione di account con privilegi elevati, ottenendo il controllo remoto completo del BMC del server e l’accesso alla sua interfaccia web di amministrazione.

Strategie per mitigare la CVE-2024-54085

Le aziende devono monitorare attentamente le indicazioni dei propri fornitori di hardware e applicare tempestivamente gli aggiornamenti firmware non appena resi disponibili. Come misura temporanea, è consigliabile consultare i manuali dei dispositivi per verificare la possibilità di disattivare l’interfaccia Redfish quando non è in uso. Poiché i BMC rimangono operativi anche quando il server principale è spento, i sistemi interessati devono essere considerati permanentemente a rischio fino all’applicazione della patch firmware, a meno che Redfish non venga disabilitato o il sistema sia isolato dalla rete (air-gap). I responsabili di sicurezza possono sviluppare regole specifiche per firewall o sistemi di prevenzione delle intrusioni (IPS) al fine di bloccare tentativi di sfruttare questa vulnerabilità e di proteggere le interfacce di gestione BMC vulnerabili.

Poiché l’errore risiede in un firmware proprietario incorporato, l’applicazione delle patch risulta più complessa rispetto agli aggiornamenti di routine del sistema operativo o delle applicazioni. A differenza del software tradizionale, il firmware BMC risiede su un chip dedicato della scheda madre. Pertanto, l’aggiornamento del firmware BMC richiede l’uso di un’utilità software speciale fornita dal produttore del dispositivo per “flashare” il firmware aggiornato. Questo processo può causare periodi di inattività, poiché gli amministratori potrebbero dover avviare il sistema in un ambiente speciale e riavviarlo al termine dell’aggiornamento del firmware.

Per riassumere

La vulnerabilità CVE-2024-54085 rappresenta un rischio significativo per l’infrastruttura aziendale, poiché consente il controllo remoto non autenticato di server prodotti da importanti fornitori come HPE e Lenovo. Data la diffusione del software MegaRAC di AMI nei data center, lo sfruttamento di questa falla potrebbe causare guasti estesi, hardware inutilizzabile o periodi di inattività prolungati. È quindi essenziale riconoscere immediatamente questa minaccia e applicare le patch firmware fornite dai produttori per tutti i sistemi interessati.

Greenbone è in grado di individuare un server colpito attraverso test di vulnerabilità remoti che rilevano attivamente BMC che possono essere colpiti.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

PHP-CGI per Windows: escalation di attacchi a CVE-2024-4577

La vulnerabilità CVE-2024-4577 (CVSS 9.8 critica) ha recentemente conquistato una posizione di rilievo tra le falle di sicurezza più pericolose. Scoperta dai ricercatori di Devcore a inizio giugno 2024, è stata sfruttata in sole 48 ore dalla sua pubblicazione. CVE-2024-4577 è una vulnerabilità di Command Injection [CWE-78] nel “sistema operativo” PHP-CGI OS che interessa PHP per Windows. I criminali informatici non hanno perso tempo e hanno sfruttato questa falla per diffondere il ransomware “TellYouThePass”, portando la Cybersecurity and Infrastructure Security Agency (CISA) a includerla nella sua lista KEV (Known Exploited Vulnerabilities). E nei mesi successivi, lo sfruttamento di CVE-2024-4577 non accenna a diminuire.

Greenbone ha preparato test di vulnerabilità (VT) mirati per individuare i sistemi interessati da CVE-2024-4577. Questo consente ai responsabili IT di identificare i sistemi esposti all’interno delle infrastrutture di rete pubbliche o interne. Ma guardiamo più da vicino quale minaccia costituisce CVE-2024-4577.

Come viene sfruttato CVE-2024-4577

Il team di watchTowr Labs ha pubblicato un codice exploit Proof of Concept (PoC) e un’analisi tecnica dettagliata della vulnerabilità CVE-2024-4577. Inoltre, a metà del 2024, è stato rilasciato un modulo Metasploit. Organizzazioni come il CERT della Nuova Zelanda (CERT NZ), il CERT canadese, il CERT-EU (CERT dell’Unione europea) e il CERT-FR (CERT del governo francese) hanno emesso avvisi di sicurezza riguardanti CVE-2024-4577 già nel giugno 2024.

A causa di CVE-2024-4577, il PHP-CGI (Common Gateway Interface) può interpretare erroneamente alcuni caratteri come parametri PHP, permettendo a un attaccante di passarli al file binario php.exe. Questo espediente consente di esporre il codice sorgente degli script o di eseguire codice PHP arbitrario sul server. CVE-2024-4577 è considerata una variante di una precedente falla di sicurezza in PHP (per la quale è già disponibile una patch), nota come CVE-2012-1823.

Quando un aggressore ottiene l’accesso iniziale alla rete di una vittima tramite tecniche come il social engineering o lo sfruttamento di altre vulnerabilità software, la falla CVE-2024-4577 può consentirgli di muoversi lateralmente all’interno del sistema. Questo movimento laterale permette all’attaccante di stabilire una presenza furtiva, penetrare più a fondo nell’infrastruttura della vittima e ampliare l’impatto dell’attacco informatico.

Aspetti tecnici di CVE-2024-4577

In sintesi, lo sfruttamento della vulnerabilità CVE-2024-4577 avviene attraverso la conversione di caratteri Unicode, che consente l’inserimento di argomenti di linea di comando malevoli nel processo php.exe. Quando la modalità CGI è attivata, i server web analizzano le richieste HTTP e le inoltrano agli script PHP per l’elaborazione. Tuttavia, in questa modalità, gli attributi vengono estratti dall’URL e passati come argomenti all’eseguibile PHP (php.exe su Windows), introducendo potenziali rischi elevati per la sicurezza.

Sebbene PHP-CGI debba eliminare i metacaratteri della shell (come trattini, doppi trattini, il simbolo “&” e il segno “=”) prima dell’elaborazione, esiste comunque la possibilità che gli aggressori possano aggirare questo processo di pulizia, aprendo la strada a vulnerabilità di Command Injection. Un esempio significativo è rappresentato dallo sfruttamento di CVE-2012-1823. Inoltre, le continue sfide legate alla codifica dei caratteri offrono agli aggressori ulteriori opportunità per eseguire attacchi XSS e SQL.

In questa variante dell’attacco, i malintenzionati usano il trattino breve (0xAD) al posto del trattino standard (0x2D) per avviare direttive PHP, ottenendo così l’esecuzione di codice da remoto (RCE). Questo accade perché Windows utilizza il set di caratteri UCS-2, che converte tutti i caratteri nel corrispondente punto di codice UCS-2 e applica una conversione “best-fit”. Nel contesto della vulnerabilità CVE-2024-4577, questa conversione trasforma i trattini brevi in trattini standard. Di conseguenza, un aggressore può iniettare argomenti nel processo php.exe, anteponendo ed eseguendo il corpo della richiesta HTTP stessa. Questo avviene aggiungendo il comando “-d allow_url_include=1 -d auto_prepend_file=php://input” alla stringa HTTP-GET, utilizzando trattini brevi codificati in URL. I trattini brevi sono caratteri UTF-8 generalmente invisibili, utilizzati per indicare possibili interruzioni di parola; tuttavia, grazie alla conversione “best-fit” di Windows, vengono interpretati come flag della riga di comando.

Nel 2025, CVE-2024-4577 sarà sfruttato a livello globale

Secondo alcuni rapporti pubblicati a marzo 2025, gli attacchi che sfruttano la vulnerabilità CVE-2024-4577 sono in aumento e sempre più diffusi. È stato scoperto che a gennaio 2025, attori malevoli hanno preso di mira organizzazioni giapponesi nei settori della tecnologia, delle telecomunicazioni, dell’istruzione, dell’intrattenimento e dell’e-commerce. Sfruttando questa vulnerabilità, gli aggressori hanno ottenuto l’accesso iniziale ai sistemi delle vittime, installato plugin come “TaoWu” di Cobalt Strike e modificato le chiavi di registro di Windows per garantire un accesso permanente tramite attività pianificate.

Un ulteriore rapporto di Greynoise indica che lo sfruttamento di CVE-2024-4577 tramite attacchi di mass exploitation si è esteso a obiettivi negli Stati Uniti, Regno Unito, Singapore, Indonesia, Taiwan, Hong Kong, India, Spagna e Malesia. La Germania e la Cina sono state identificate come le principali fonti di attacchi, rappresentando il 43% del totale. La rete globale di honeypot di GreyNoise ha rilevato oltre 1.089 indirizzi IP unici che tentavano di sfruttare questa vulnerabilità solo nel gennaio 2025 e ha identificato 79 kit di exploit pubblicamente disponibili. La società di sicurezza informatica avverte che il volume degli attacchi è in veloce aumento, alimentato da scansioni automatizzate, e segnala una minaccia informatica in rapida escalation.

Mitigazione di CVE-2024-4577

CVE-2024-4577 interessa tutte le versioni di PHP di Windows precedenti a 8.1.29, 8.2.20 e 8.3.8, includendo anche le versioni obsolete come PHP 5 e PHP 7, ormai giunte al termine del loro ciclo di vita. La soluzione ottimale per affrontare questa vulnerabilità è l’aggiornamento immediato a una versione corretta di PHP. Qualora l’aggiornamento immediato non fosse possibile, si consiglia di disabilitare l’esecuzione in modalità PHP-CGI in favore di PHP-FPM (FastCGI Process Manager). In alternativa, l’implementazione di un Web Application Firewall (WAF) può aiutare a filtrare e bloccare i tentativi di exploit.

È inoltre importante che gli amministratori di sistema PHP siano consapevoli dei rischi aggiuntivi associati all’uso della modalità CGI e adottino le misure necessarie per garantire una sicurezza ottimale.

Greenbone ha implementato test di vulnerabilità (VT) per identificare i sistemi interessati da CVE-2024-4577 sin dalla sua pubblicazione a giugno 2024.

Questi strumenti di rilevamento precoce permettono ai professionisti della sicurezza di individuare sistemi vulnerabili sia nelle reti pubbliche che in quelle interne. I test di Greenbone includono sia il riconoscimento delle versioni remote [1][2] , sia controlli attivi[3].

Per riassumere

CVE-2024-4577 è una vulnerabilità critica che interessa le installazioni di PHP su Windows, consentendo l’esecuzione di codice remoto (RCE). Questa falla è stata sfruttata entro 48 ore dalla sua divulgazione, con attacchi che hanno distribuito il ransomware TellYouThePass. Rapporti di Cisco e Greynoise indicano un aumento globale dello sfruttamento di CVE-2024-4577, con diverse segnalazioni da parte di CERT nazionali. Per proteggere le infrastrutture, i responsabili della sicurezza devono individuare i prodotti vulnerabili e aggiornare immediatamente PHP alle versioni corrette (8.1.29, 8.2.20 o 8.3.8). In alternativa, possono disabilitare PHP-CGI o passare a PHP-FPM (FastCGI Process Manager).

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

Apache Camel: vulnerabilità con la “V” maiuscola

Due nuove vulnerabilità in Apache Camel richiedono l’attenzione immediata degli utenti. Il 9 marzo 2025, Apache ha divulgato la vulnerabilità CVE-2025-27636 (CVSS 5.6) per l’esecuzione di codice remoto. Pochi giorni dopo, l’11 marzo, il Security Intelligence Group (SIG) di Akamai ha identificato una tecnica per aggirare la patch originale, portando alla pubblicazione della vulnerabilità CVE-2025-29891 (CVSS 4.2) il 12 marzo. ​

Grüne Grafik mit stilisiertem Kamel in einer Wüstenlandschaft. Rechts daneben ein Button mit der Aufschrift ‚RCE in Apache Camel‘.

Sebbene l’Authorized Data Publisher (ADP) della Cybersecurity and Infrastructure Security Agency (CISA) abbia assegnato punteggi CVSS moderati a queste due vulnerabilità, a seconda della configurazione dell’istanza Apache Camel interessata le loro conseguenze possono essere gravi. Entrambe le vulnerabilità derivano da un filtraggio inadeguato delle intestazioni o dei parametri HTTP durante la comunicazione con un’istanza di Apache Camel. In particolare, il problema risiede nella gestione delle maiuscole e minuscole: mentre il filtraggio dei parametri considera la distinzione tra maiuscole e minuscole, l’applicazione degli argomenti non lo fa. Inoltre, la disponibilità pubblica di codice Proof of Concept (PoC) e di descrizioni tecniche dettagliate aumenta il rischio associato a queste vulnerabilità.

Greenbone ha implementato test di vulnerabilità (VT) per individuare sistemi esposti alle CVE-2025-27636 e CVE-2025-29891. Questi test eseguono scansioni attive sugli endpoint HTTP per rilevare potenziali punti deboli. Ma vediamo il tutto nel dettaglio.

Cos’è Apache Camel?

Apache Camel è una libreria Java open source progettata per facilitare l’integrazione di diversi componenti all’interno di architetture di sistema aziendali distribuite, come API o microservizi. Fornisce una piattaforma versatile per il routing e la trasmissione dei dati, basata sul concetto di Enterprise Integration Patterns (EIP), che rappresentano modelli architetturali per l’integrazione dei sistemi aziendali. Camel implementa questi modelli attraverso vari domain-specific Languages (DSL), tra cui Java, XML, Groovy e YAML, consentendo ai programmatori di definire in modo flessibile le regole di routing e mediazione.

Nel 2021, Apache Camel deteneva una quota del 3,03% nel mercato dell’Enterprise Application Integration. Oltre 5.600 aziende (di cui circa la metà con sede negli Stati Uniti) hanno adottato il software. Camel è particolarmente diffuso nei settori della tecnologia e dei servizi IT (33%), del software (12%) e dei servizi finanziari (6%).

Due CVE in Apache Camel consentono l’header injection

Quando un componente HTTP di Apache Camel elabora una richiesta, un filtro predefinito dovrebbe impedire la divulgazione di dati sensibili o l’esecuzione di comandi interni. Tuttavia, a causa di una regola di filtro errata che distingue tra maiuscole e minuscole, vengono filtrate solo le intestazioni corrispondenti al 100%, mentre nella logica del programma queste si applicano senza tenere in considerazione la distinzione maiuscole-minuscole. Questo ha permesso di bypassare il filtro modificando la maiuscola o minuscola del primo carattere del nome dell’intestazione, consentendo a un attaccante di infiltrare qualsiasi intestazione.

La buona notizia è che i componenti camel-bean o camel-exec devono essere attivati in combinazione con un componente basato su HTTP, come camel-http, camel-http4, camel-rest o camel-servlet. Inoltre, lo sfruttamento è limitato ai metodi interni specificati nell’URI della richiesta HTTP. È rassicurante anche sapere che questa vulnerabilità richiede autenticazione per essere sfruttata. Pertanto, se gli sviluppatori hanno implementato meccanismi di autorizzazione per l’API HTTP di Camel, il rischio di sfruttamento da parte di utenti senza le giuste credenziali è significativamente ridotto.

Al vertice della scala di rischio, l’attivazione mirata del componente “Camel Exec” può consentire a un attaccante di eseguire comandi arbitrari sul sistema con i privilegi dell’utente che esegue il processo Camel. Questo è possibile inviando l’header “CamelExecCommandExecutable” per specificare un comando shell che sovrascrive quelli configurati nel back-end. Il rischio è particolarmente elevato quando le API HTTP vulnerabili di Camel risultano accessibili da Internet. Tuttavia, questa vulnerabilità potrebbe essere sfruttata anche da un insider per muoversi lateralmente all’interno della rete o da aggressori che hanno già ottenuto un accesso iniziale alla rete interna di un’organizzazione.

Akamai ha fornito una descrizione tecnica della catena di exploit e del Proof of Concept.

Qual è il punteggio CVSS appropriato?

Sebbene le vulnerabilità CVE-2025-27636 (CVSS 5.6) e CVE-2025-29891 (CVSS 4.2) siano state classificate come moderatamente gravi, il loro impatto può diventare critico se i componenti “camel-bean” o “camel-exec” sono attivati in combinazione con componenti basati su HTTP. Questa situazione mette in evidenza alcune limitazioni del Common Vulnerability Scoring System (CVSS), che fornisce una valutazione standardizzata della gravità delle vulnerabilità, ma non sempre considera il contesto specifico di utilizzo.

I ricercatori di Akamai hanno evidenziato che la CVE-2025-27636 è relativamente semplice da sfruttare e hanno pubblicato un codice Proof of Concept (PoC), contribuendo ad aumentare la consapevolezza del rischio associato. Questo implica che la metrica “Attack Complexity” (AC) del Common Vulnerability Scoring System (CVSS) dovrebbe essere impostata su “Bassa” (AC:L). Tuttavia, il Cybersecurity and Infrastructure Security Agency – Authorized Data Publisher (CISA-ADP) ha valutato la complessità dell’attacco come “Alta” (AC:H). In risposta a questi sviluppi, Red Hat ha rivalutato la vulnerabilità, aumentando il punteggio CVSS per la CVE-2025-27636 a 6,3.

Sebbene inizialmente il CISA-ADP non avesse identificato un impatto significativo sulla riservatezza (confidentiality) di CVE-2025-29891, ulteriori analisi hanno rivelato che questa vulnerabilità potrebbe consentire l’esecuzione remota di codice arbitrario (Remote Code Execution, RCE) su sistemi con una configurazione vulnerabile di Apache Camel. Di conseguenza, è stato ritenuto appropriato rivalutare l’impatto della vulnerabilità, classificandolo come elevato in termini di riservatezza (C), integrità (I) e disponibilità (A). Questo ha portato a un aumento del punteggio CVSS (Common Vulnerability Scoring System) della vulnerabilità a 9.8, indicando una criticità molto elevata.

La Cybersecurity and Infrastructure Security Agency – Authorized Data Publisher (CISA-ADP) ha assegnato alla vulnerabilità CVE-2025-29891 il valore “Nessuno” (N) per le autorizzazioni richieste (PR). Tuttavia, il Proof of Concept (PoC) pubblicato da Akamai dimostra come l’exploit possa avvenire senza l’uso di connessioni HTTPS né autenticazione. È importante ricordare che eseguire un’API non crittografata e non autenticata è altamente rischioso. Apache Camel offre meccanismi di sicurezza come l’API Java Secure Socket Extension (JSSE) per Transport Layer Security (TLS) e l’integrazione con server di autorizzazione Single Sign-On (SSO) come KeyCloak. Le istanze di Camel che implementano l’autenticazione client sono protette da potenziali exploit. Pertanto, nella maggior parte dei casi, il valore PR dovrebbe essere impostato su “Basso” (L) o “Alto” (H), il che ridurrebbe il punteggio CVSS rispettivamente a 7,3 o 8,8.

Inoltre, alle CVE è stato assegnato il valore “Scope Unchanged” (UC). Secondo la specifica CVSS v3.1, “questa metrica indica se una vulnerabilità in un componente ha un impatto su risorse al di fuori del suo ambito di sicurezza.” L’esecuzione di comandi shell arbitrari su un sistema compromesso è generalmente valutata con “Scope Changed” (C). Se il processo Camel è eseguito con privilegi di root su Linux/Unix o come amministratore su Windows, un attaccante potrebbe ottenere un controllo quasi totale sul sistema. Considerando la variabilità delle valutazioni CVSS, le vulnerabilità CVE-2025-27636 e CVE-2025-29891 dovrebbero essere trattate come critiche in configurazioni vulnerabili prive di autenticazione.

Trattamento delle CVE in Apache Camel

Le vulnerabilità CVE-2025-27636 e CVE-2025-29891 interessano Apache Camel nelle seguenti versioni:​ 4.10 fino alla 4.10.1,​ 4.8 fino alla 4.8.4​, 3 fino alla 3.22.3​. Si consiglia agli utenti di aggiornare alle versioni 4.10.2, 4.8.5 o 3.22.4, oppure di implementare un filtro di intestazione personalizzato utilizzando removeHeader o removeHeaders nelle rotte di Camel. È importante notare che le versioni 4.10.0, 4.10.1, dalla 4.8.0 alla 4.8.4 e dalla 3.10.0 alla 3.22.3 rimangono vulnerabili, nonostante siano considerate aggiornamenti di sicurezza che avrebbero dovuto correggere l’errore.

Nelle architetture distribuite, è fondamentale che tutti i terminali HTTP implementino un’autenticazione robusta. Per Apache Camel, sono disponibili diverse opzioni per garantire la sicurezza delle comunicazioni: utilizzo dell’API Java Secure Socket Extension (JSSE) per TLS con componenti Camel o utilizzo di un server di autorizzazione KeyCloak OAuth 2.0 SSO. Per i sistemi legacy deve essere configurata almeno l’autenticazione di base HTTP.

Per riassumere

Si consiglia agli utenti di Apache Camel di effettuare l’aggiornamento immediato alle versioni 4.10.2, 4.8.5 o 3.22.4. In alternativa, è possibile implementare il filtraggio personalizzato delle intestazioni utilizzando removeHeader o removeHeaders nelle rotte Camel. È inoltre fortemente raccomandato l’uso di un’autenticazione robusta su tutti gli endpoint HTTP. Apache Camel supporta l’API JSSE per soluzioni TLS e l’integrazione con Keycloak per OAuth 2.0 SSO. Greenbone è in grado di rilevare sia la CVE-2025-27636 che CVE-2025-29891 attraverso test di vulnerabilità che controllano attivamente gli endpoint HTTP potenzialmente sfruttabili.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Markus Feilner

Dennis-Kenji Kipker sul futuro del NIS2 in Germania ed Europa

La Germania ha affrontato da poco le elezioni politiche. Nel quadro di questi avvenimenti, l’implementazione del NIS2 nella Repubblica federale tedesca sembra essersi temporaneamente arenata. Mentre altri paesi europei sono già pronti, le aziende tedesche dovranno attendere ancora diversi mesi prima di poter contare su una certezza giuridica. E anche se il tema è già stato ampiamente discusso e preparato, il nuovo governo riparte da zero.

Abbiamo avuto il piacere di confrontarci con uno dei massimi esperti di NIS2: Dennis-Kenji Kipker, Scientific Director del cyberintelligence.institute di Francoforte sul Meno, professore presso la Riga Graduate School of Law e consulente abituale dell’Ufficio federale per la sicurezza nelle tecnologie dell’informazione (BSI), oltre che di numerose altre istituzioni pubbliche e scientifiche. 

Perché il governo federale ha scartato la bozza del NIS2?

Prof. Dr. Dennis-Kenji Kipker

Kipker: Quanto accaduto si deve al principio di discontinuità. Questo impone che, come avveniva con il precedente governo, tutti i progetti in sospeso debbano essere archiviati. “A causa delle elezioni anticipate, non è stato possibile completare la procedura parlamentare relativa al NIS2UmsuCG”. In conformità con tale principio, tutti i progetti di legge non approvati dal vecchio Bundestag devono essere ripresentati e negoziati una volta costituito il nuovo Parlamento. Di conseguenza, anche il lavoro già svolto sul NIS2 viene accantonato. Tuttavia, è possibile riprendere quanto già elaborato e proporre quasi lo stesso testo.

È probabile che accada?

Kipker: Il Ministero federale degli Interni ha elaborato un piano interno di 100 giorni per il periodo post-elettorale. Secondo fonti riservate, al suo interno la sicurezza informatica dovrebbe occupare una posizione di rilievo, con particolare enfasi sull’implementazione rapida della direttiva NIS2. Qualora si riuscisse ad attuarla prima dell’autunno/inverno 2025, anticipando le attuali previsioni, la Germania eviterebbe di trovarsi nella scomoda posizione di fanalino di coda europeo in questo ambito.

Si tratta di un obiettivo realistico?

Kipker: Nonostante il principio di discontinuità, sarebbe opportuno recuperare gran parte del lavoro svolto nella precedente legislatura. Attualmente, sembra che il Ministero dell’Interno ancora in carica miri proprio a questo obiettivo. Tuttavia, solo i politici e i funzionari direttamente coinvolti possono valutare la fattibilità di tale approccio. Considerando la complessità dell’attività politica tedesca, cento giorni appaiono un termine piuttosto ambizioso, anche con il pieno coinvolgimento di tutte le parti interessate. Sarebbe necessario effettuare un bilancio, identificare e affrontare le esigenze di revisione nell’attuale progetto NIS2UmsuCG, nonché definire e chiarire l’ambito di applicazione tedesco della legge, allineandola al diritto dell’Unione Europea. Inoltre, tra la fine del 2024 e l’inizio del 2025, anche in seguito all’audizione di esperti sul NIS2 al Bundestag, si è cercato di far approvare numerose proposte, alcune delle quali piuttosto controverse. In ogni caso, questi aspetti dovrebbero essere oggetto di una nuova negoziazione politica e di un’attenta valutazione tecnica.

Quando crede che accadrà?

Kipker: Difficile dirlo con certezza, ma se viene rispettata la scadenza dei 100 giorni, dovrebbe essere possibile completare l’implementazione nazionale della direttiva NIS2 prima dell’inverno 2025/2026. Tuttavia, si tratta solo di un’ipotesi preliminare che viene ripetutamente ventilata da “ambienti solitamente ben informati”. In ogni caso, indipendentemente dagli sforzi attuali, è probabile che la Germania finisca comunque tra i fanalini di coda nell’attuazione a livello europeo, poiché le ambizioni attuali non sembrano in grado di cambiare questa prospettiva.

E qual è la situazione in altri Paesi europei?

Kipker: Attualmente, ci sono numerosi sviluppi interessanti. È emerso, ad esempio, che le diverse implementazioni nazionali della direttiva NIS2 generano inefficienze e costi aggiuntivi per le aziende coinvolte, un fenomeno non del tutto inaspettato. Recentemente, l’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) ha pubblicato un rapporto informativo che analizza e valuta il livello di maturità e la criticità dei settori rilevanti per la NIS2 nel contesto europeo. L’ENISA afferma che il “NIS360 mira ad assistere gli Stati membri e le autorità nazionali nell’identificazione delle lacune e nella definizione delle priorità per l’allocazione delle risorse”. Parallelamente, il cyberintelligence.institute ha condotto uno studio approfondito per conto dell’azienda svizzera Asea Brown Boveri, che esamina in dettaglio l’implementazione della direttiva NIS2 in tutta l’Unione Europea.

Quali sono i punti salienti di questo studio?

Kipker: Il Comparison Report si rivolge principalmente alle aziende operanti a livello transnazionale che cercano un primo punto di riferimento per la compliance in materia di sicurezza informatica. In particolare, emerge la mancanza di responsabilità amministrative centralizzate, nel senso di uno “sportello unico”, e le divergenti scadenze di attuazione creano difficoltà alle imprese. A fine gennaio, solo nove Stati membri dell’UE avevano recepito la direttiva NIS2 nel diritto nazionale, mentre per altri 18 Stati il processo legislativo era ancora in corso. Un’altra osservazione cruciale: la conformità alla NIS2 in uno Stato membro dell’UE non garantisce necessariamente la conformità in un altro Stato membro.

Insomma, la Germania non può definirsi pioniere, ma nemmeno fanalino di coda?

Kipker: Non siamo di certo in prima linea, ma se riusciremo a completare l’implementazione nazionale entro la fine dell’anno, potremmo evitare l’ultima posizione, pur rimanendo molto indietro. Allo stato attuale, la mia ipotesi è che risultati veramente resilienti si vedranno solo nell’ultimo trimestre del 2025, e allora forse saremo veramente in coda al gruppo. Spetta ai politici valutare se questa situazione possa soddisfare le nostre esigenze di cybersicurezza e resilienza digitale.

Dov’è possibile informarsi sullo stato attuale del progetto?

Kipker: Gli eventi e le opportunità di partecipazione si susseguono con regolarità. Il 18 marzo, ad esempio, è previsto un evento informativo del BSI, dove sarà possibile ottenere chiarimenti sulla pianificazione. Successivamente, nel maggio 2025, si terrà il congresso NIS-2 proprio qui vicino a Francoforte, per il quale è stato recentemente nominato il “Community Leader NIS-2 più autorevole”. Sicuramente l’evento offrirà spunti informativi interessanti. In ogni caso, non esitate a contattarmi per qualsiasi domanda riguardante NIS2!

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

Threat Report febbraio 2025: minacce latenti

Le minacce informatiche si stanno evolvendo rapidamente, ma le vulnerabilità sfruttate dagli attaccanti rimangono pressoché invariate. Per il 2025, molti analisti hanno fornito una retrospettiva sul 2024 e una previsione per l’anno a venire. Gli attacchi informatici diventano sempre più costosi per le aziende, ma le cause restano invariate. Il phishing [T1566] e lo sfruttamento di vulnerabilità software note [T1190] continuano a essere le principali minacce. È interessante notare che gli attaccanti stanno diventando sempre più veloci nel trasformare le informazioni pubbliche in armi, convertendo le rivelazioni di CVE (Common Vulnerabilities and Exposures) in codice exploit utilizzabile nel giro di pochi giorni o addirittura ore. Una volta penetrati nella rete di una vittima, gli aggressori eseguono i loro obiettivi con maggiore rapidità nella seconda fase, implementando il ransomware in tempi molto brevi.

In questo Threat Report, analizziamo le recenti rivelazioni sul gruppo ransomware Black Basta e le misure di protezione offerte da Greenbone. Esamineremo inoltre un rapporto di GreyNoise sullo sfruttamento di massa delle vulnerabilità, una nuova falla critica nella Zimbra Collaboration Suite e le minacce emergenti per i dispositivi di edge networking.

L’era delle tecnologie sismiche

Se le crisi di sicurezza informatica sono paragonabili a terremoti, l’ecosistema tecnologico globale rappresenta le placche tettoniche sottostanti. Questo sistema può essere efficacemente descritto come il corrispettivo informatico del periodo Paleozoico nella storia geologica terrestre. Le dinamiche competitive e le spinte innovative del mercato esercitano pressioni contrastanti sull’infrastruttura della cybersecurity, simili alle forze che portarono alla collisione dei supercontinenti di Pangea. Queste sollecitazioni continue generano “scosse” ricorrenti che provocano riassestamenti strutturali permanenti, modificando radicalmente il panorama della sicurezza digitale.

I nuovi paradigmi informatici come l’IA generativa e l’informatica quantistica offrono vantaggi significativi ma comportano anche rischi considerevoli. La corsa all’accesso ai dati personali sensibili da parte di governi e giganti tecnologici amplifica i rischi per la privacy e la sicurezza dei cittadini. L’impatto di queste lotte tecnologiche sulla sfera privata, la sicurezza e non da ultimo la società, è profondo e multiforme. Ecco alcune delle forze principali che destabilizzano attualmente la sicurezza informatica:

  • L’evoluzione rapida delle tecnologie guida l’innovazione e impone cambiamenti tecnologici continui.
  • Le aziende si trovano costrette ad adattarsi sia per la svalutazione di tecnologie e standard obsoleti, sia per mantenere la propria competitività sul mercato.
  • La concorrenza serrata accelera lo sviluppo dei prodotti e accorcia i cicli di rilascio.
  • L’obsolescenza programmata si è affermata come strategia aziendale per generare maggiori profitti.
  • La diffusa mancanza di responsabilità da parte dei fornitori di software ha portato a privilegiare le prestazioni rispetto al principio “Security First”.
  • Inoltre, gli stati nazionali impiegano tecnologie avanzate per condurre operazioni di guerra cibernetica, guerra dell’informazione e guerra elettronica.

Grazie a queste forze, i criminali informatici ben equipaggiati e organizzati trovano un numero praticamente illimitato di falle di sicurezza da sfruttare. Il Paleozoico è durato 300 milioni di anni; speriamo di non dover attendere altrettanto affinché i produttori di prodotti dimostrino responsabilità e adottino principi di progettazione sicura [1][2][3] per prevenire i cosiddetti punti deboli “imperdonabili” causati dalla negligenza [4][5]. Le aziende devono quindi sviluppare una flessibilità tecnica e implementare programmi efficienti per la gestione delle patch. Una gestione continua e prioritaria delle vulnerabilità è imprescindibile.

Greenbone contro Black Basta

I log di chat interni trapelati del gruppo ransomware Black Basta offrono uno sguardo senza precedenti sulle tattiche e i processi operativi del gruppo. La pubblicazione di questi verbali, attribuita a un individuo noto come “ExploitWhispers”, sarebbe una ritorsione contro gli attacchi controversi di Black Basta alle banche russe, che avrebbero scatenato conflitti interni al gruppo. Dall’inizio delle sue attività nell’aprile 2022, Black Basta ha dimostrato di essere un attore di spicco nel panorama del cybercrime, accumulando oltre 100 milioni di dollari in pagamenti di riscatto da più di 300 vittime a livello globale. Un’analisi approfondita dei documenti trapelati ha rivelato riferimenti a 62 CVE che illustrano le strategie del gruppo per sfruttare vulnerabilità note. Greenbone dispone di test di rilevamento per 61 di questi CVE, coprendo così il 98% delle vulnerabilità menzionate.

Il report di GreyNoise sullo sfruttamento massivo delle vulnerabilità

Gli attacchi di mass-exploitation sono operazioni automatizzate che prendono di mira i servizi di rete accessibili via Internet. Questo mese, GreyNoise ha pubblicato un rapporto dettagliato che analizza il panorama delle mass-exploitation, evidenziando i 20 principali CVE attaccati dalle botnet più estese (in termini di IP univoci) e i fornitori dei prodotti più frequentemente presi di mira. Inoltre, elenca i principali CVE inseriti nel catalogo KEV (Known Exploited Vulnerabilities) della CISA sfruttati dalle botnet Il Greenbone Enterprise Feed offre test di riconoscimento per l’86% di tutti i CVE (86 in tutto) menzionati nel report. Se si considerano solo CVE pubblicati nel 2020 o successivamente (66 in totale), il nostro Enterprise Feed ne copre il 90%.

Inoltre:

  • Il 60% dei CVE sfruttati negli attacchi di massa sono stati pubblicati nel 2020 o successivamente.
  • Gli attaccanti sono sempre più veloci nello sfruttare le nuove vulnerabilità, iniziando ad utilizzarle entro poche ore dalla loro pubblicazione.
  • Il 28% delle vulnerabilità presenti nel catalogo KEV della CISA viene attivamente sfruttato dai gruppi ransomware.

La Zimbra Collaboration Suite

Il CVE-2023-34192 (CVSS 9.0) è una vulnerabilità di cross-site scripting (XSS) critica nella Zimbra Collaboration Suite (ZCS) versione 8.8.15. Questa falla permette a un attaccante autenticato remoto di eseguire codice arbitrario attraverso uno script manipolato indirizzato alla funzione “/h/autoSaveDraft”. La CISA ha incluso il CVE-2023-34192 nel suo catalogo KEV, indicando che la vulnerabilità è stata attivamente sfruttata in attacchi reali. Il codice exploit PoC (Proof of Concept) è disponibile pubblicamente, rendendo possibile anche agli aggressori meno esperti di sfruttare la vulnerabilità. Fin dalla sua scoperta nel 2023, il CVE-2023-34192 ha mantenuto un punteggio EPSS molto elevato. Per i difensori che utilizzano l’EPSS (Exploit Prediction Scoring System) per prioritizzare le azioni correttive, questo implica la necessità di applicare patch con la massima urgenza.

Zimbra Collaboration Suite (ZCS) è una piattaforma open source per applicazioni da ufficio che combina e-mail, calendari, contatti, gestione delle attività e strumenti di collaborazione. Ciononostante, ZCS detiene una quota di mercato di nicchia, rappresentando meno dell’1% di tutte le piattaforme di posta elettronica e messaggistica.

Vivere sul filo del rasoio: vulnerabilità critiche nei dispositivi di rete

Nel nostro threat report mensile, abbiamo evidenziato la persistente vulnerabilità dei dispositivi di rete edge. All’inizio del mese, abbiamo documentato le gravi conseguenze derivanti dai modelli di router e firewall Zyxel giunti a fine ciclo di vita. In questa sezione, esaminiamo i nuovi rischi per la sicurezza che rientrano nella categoria “Edge Networking”. È importante sottolineare che Greenbone offre capacità di rilevamento per tutti i CVE discussi di seguito.

Hacker cinesi sfruttano PAN-OS di Palo Alto per attacchi ransomware

Il CVE-2024-0012 (CVSS 9.8), una vulnerabilità scoperta in Palo Alto PAN-OS nel novembre 2023, si è affermata come una delle più sfruttate del 2024. Fonti attendibili riportano che attori di minacce cinesi, presumibilmente supportati dal governo, stanno sfruttando questa falla per orchestrare attacchi ransomware. Recentemente, è emersa un’altra grave vulnerabilità che affligge PAN-OS: CVE-2025-0108 (CVSS 9.1). Annunciata questo mese, la CISA l’ha immediatamente classificata come attivamente sfruttata. Questa falla permette di aggirare l’autenticazione nell’interfaccia di gestione web. Particolarmente preoccupante è la possibilità di combinarla con CVE-2024-9474 (CVSS 7.2), una vulnerabilità distinta che consente l’escalation dei privilegi, consentendo a un attaccante non autenticato di ottenere il controllo completo sui file root di un dispositivo PAN-OS non aggiornato.

SonicWall corregge una vulnerabilità critica attivamente sfruttata in SonicOS

CVE-2024-53704, una vulnerabilità critica negli apparecchi SonicWall è stata recentemente inclusa nel catalogo KEV della CISA. Sorprendentemente, la CISA ha segnalato che questa è solo una delle otto vulnerabilità legate a SonicWall attivamente sfruttate negli attacchi ransomware. La nuova minaccia CVE-2024-53704 (CVSS 9.8) è una vulnerabilità creata da un meccanismo di autenticazione non pulito [CWE-287] in SSLVPN delle versioni SonicOS 7.1.1-7058 e precedenti, 7.1.2-7019 e 8.0.0-8035 di SonicWall. Consente agli aggressori di bypassare l’autenticazione e dirottare le sessioni VPN SSL attive, ottenendo potenzialmente l’accesso non autorizzato alla rete. Un’analisi tecnica completa è disponibile su BishopFox. Un Security Advisory di SonicWall menziona anche altri CVE ad alta gravità in SonicOS che sono stati patchati insieme a CVE-2024-53704.

CyberoamOS e firewall XG di Sophos a fine vita attivamente sfruttati

Il fornitore di sicurezza Sophos, che ha acquisito Cyberoam nel 2014, ha emesso un avviso e una patch per CVE-2020-29574. CyberoamOS fa parte dell’ecosistema dei prodotti Sophos. Oltre a questo CVE, anche il Sophos XG Firewall, che sta per scadere, è oggetto di un avviso di possibile sfruttamento attivo.

  • CVE-2020-29574 (CVSS 9.8 ): una vulnerabilità critica di SQL Injection [CWE-89] rilevata nell’interfaccia WebAdmin delle versioni CyberoamOS fino al 4 dicembre 2020. Questa falla consente agli aggressori non autenticati di eseguire da remoto istruzioni SQL arbitrarie, con la possibilità di ottenere l’accesso amministrativo completo al dispositivo. È stata rilasciata una patch hotfix che si applica anche a determinati prodotti End-of-Life (EOL) interessati.
  • CVE-2020-15069 (CVSS 9.8) è una vulnerabilità critica di overflow del buffer che colpisce le versioni di Sophos XG Firewall da 17.x a v17.5 MR12. Questa falla consente l’esecuzione di codice remoto (RCE) non autenticata attraverso la funzione di segnalibro HTTP/S per l’accesso clientless. Sebbene pubblicata nel 2020, la vulnerabilità è ora oggetto di sfruttamento attivo ed è stata inclusa nel catalogo KEV della CISA, indicando un incremento del rischio associato. In risposta alla scoperta della vulnerabilità nel 2020, Sophos ha prontamente emesso un avviso e rilasciato un hotfix per i firewall interessati. È importante notare che le appliance hardware della serie XG raggiungeranno la fine del loro ciclo di vita (EOL) il 31 marzo 2025.

Escalation di privilegi e bypass dell’autenticazione in Fortinet FortiOS e FortiProxy

Fortinet ha reso nota l’esistenza di due vulnerabilità critiche che interessano FortiOS e FortiProxy. In risposta il Canadian Center for Cybersecurity e il Belgian Center for Cybersecurity hanno emesso degli avvisi. Fortinet ha confermato che CVE-2024-55591 è oggetto di sfruttamento attivo e ha rilasciato una guida ufficiale contenente informazioni dettagliate sulle versioni colpite e sugli aggiornamenti raccomandati.

  • CVE-2024-55591 (CVSS 9.8 ): una vulnerabilità di bypass dell’autenticazione che sfrutta un percorso o canale alternativo [CWE-288] in FortiOS. Questa falla permette a un attaccante remoto di ottenere privilegi di super amministratore attraverso richieste appositamente create al modulo Node.js Websocket. La disponibilità di molteplici exploit (PoC) [1][2] incrementa significativamente il rischio di sfruttamento, rendendo la vulnerabilità accessibile anche ad aggressori con minori competenze tecniche.
  • CVE-2024-40591 (CVSS 8.8 ): permette a un amministratore autenticato con autorizzazioni Security Fabric di elevare i propri privilegi a super amministratore. Questo avviene collegando il dispositivo FortiGate bersaglio a un FortiGate upstream compromesso sotto il controllo dell’attaccante.

Vulnerabilità Cisco come vettori di accesso iniziale negli attacchi a Telekom

Negli ultimi mesi, il gruppo di spionaggio cinese Salt Typhoon ha regolarmente sfruttato almeno due vulnerabilità critiche nei dispositivi Cisco IOS XE per ottenere un accesso permanente alle reti di telecomunicazione. Le vittime includono ISP italiani, una società di telecomunicazioni sudafricana e una grande azienda thailandese, oltre a dodici università in tutto il mondo, tra cui l’UCLA, l’Universitas Negeri Malang indonesiana e l’UNAM messicana. In passato, Salt Typhoon aveva già preso di mira almeno nove società di telecomunicazioni statunitensi, tra cui Verizon, AT&T e Lumen Technologies. Secondo le autorità statunitensi, l’obiettivo principale del gruppo è la sorveglianza di persone di alto rango, personalità politiche e funzionari legati agli interessi politici cinesi.

I CVE sfruttati da Salt Typhoon includono:

  • CVE-2023-20198 (CVSS 10 ): una vulnerabilità di estensione dei privilegi nell’interfaccia web di Cisco IOS XE. Questa falla viene utilizzata per ottenere l’accesso iniziale, consentendo agli aggressori di creare un account amministratore.
  • CVE-2023-20273 (CVSS 7.2 ): un altro punto debole che facilita l’estensione dei privilegi. Dopo aver ottenuto l’accesso come amministratore, questa vulnerabilità viene sfruttata per ampliare l’accesso privilegiato ai file root e configurare un tunnel GRE (Generic Routing Encapsulation) per garantire una permanenza duratura nella rete.

Inoltre, nel febbraio 2025 sono stati resi noti altri due CVE nei prodotti Cisco:

  • CVE-2023-20118 (CVSS 7.2 ): una vulnerabilità di Command Injection nell’interfaccia di gestione basata sul web dei router Cisco Small Business consente agli aggressori autenticati e remoti di eseguire qualsiasi comando con privilegi di root inviando richieste http manipolate.
  • La CISA ha incluso CVE-2023-20118 nel suo catalogo RIC, suggerendo che la vulnerabilità è attivamente sfruttata.
  • CVE-2023-20026 (CVSS 7.2 ): una vulnerabilità di Command Injection nell’interfaccia di gestione basata sul web dei router Cisco Small Business serie RV042 consente agli aggressori remoti autenticati con credenziali amministrative valide di eseguire qualsiasi comando sul dispositivo.
  • La vulnerabilità è dovuta a una convalida impropria degli input dell’utente nei pacchetti http in entrata. Sebbene non sia noto che CVE-2023-20026 venga sfruttato nelle campagne attive, il Product Security Incident Response Team (PSIRT) di Cisco è a conoscenza che esiste un codice di exploit PoC per questa vulnerabilità.

Ivanti corregge quattro vulnerabilità critiche

Sono state identificate quattro vulnerabilità critiche che colpiscono Ivanti Connect Secure (ICS), Policy Secure (IPS) e Cloud Services Application (CSA). Al momento, non sono state riportate evidenze di attacchi attivi in natura o di exploit Proof of Concept. Ivanti raccomanda vivamente agli utenti di procedere immediatamente all’aggiornamento alle versioni più recenti per mitigare queste gravi falle di sicurezza.

Ecco un breve riassunto tecnico:

  • CVE-2025-22467 (CVSS 8.8): un overflow del buffer basato su stack [CWE-121] nelle versioni ICS antecedenti alla 22.7R2.6 permette agli aggressori autenticati di ottenere l’esecuzione di codice remoto (RCE).
  • CVE-2024-38657 (CVSS 9.1): un controllo esterno del nome del file nelle versioni ICS precedenti alla 22.7R2.4 e IPS precedenti alla 22.7R1.3 consente agli aggressori autenticati di scrivere file arbitrari.
  • CVE-2024-10644 (CVSS 9.1): una vulnerabilità di code injection in ICS (pre-22.7R2.4) e IPS (pre-22.7R1.3) permette agli amministratori autenticati di eseguire qualsiasi RCE.
  • CVE-2024-47908 (CVSS 7.2): una falla di Command Injection del sistema operativo [CWE-78] nella console web di amministrazione di CSA (versioni precedenti alla 5.0.5) consente agli amministratori autenticati di eseguire qualsiasi RCE.

Per riassumere

Il Threat Report di febbraio 2025 evidenzia sviluppi significativi nel panorama della cybersecurity, focalizzandosi sulle tattiche in rapida evoluzione di gruppi ransomware come Black Basta e sulla persistente minaccia critica ai dispositivi di rete edge. Potenziati da strumenti di intelligenza artificiale, gli aggressori sfruttano le vulnerabilità con crescente rapidità, talvolta entro poche ore dalla loro scoperta. Per contrastare queste minacce emergenti, le aziende devono mantenere un alto livello di vigilanza, implementando misure di sicurezza proattive, aggiornando costantemente le proprie difese e utilizzando efficacemente i dati sulle minacce per anticipare i nuovi vettori di attacco.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

Zyxel sotto assedio: router EOL scatenano ondata di ransomware

I prodotti tecnologici hanno inevitabilmente un ciclo di vita limitato, ma la gestione della fine del supporto (EOL/EOS) da parte dei fornitori spesso lascia i clienti in una posizione vulnerabile, con preavvisi brevi e senza alcun diritto di recesso. Quando un produttore dichiara un articolo End-of-Life (EOL) o End-of-Service (EOS), gestire i rischi associati diventa più complicato. Tali rischi si intensificano quando i cybercriminali identificano e sfruttano vulnerabilità che non sono mai state eliminate tramite patch. In particolare, quando un prodotto EOL diventa vulnerabile, gli utenti si trovano costretti ad adottare ulteriori controlli di sicurezza per proteggere i propri sistemi.

La situazione diventa particolarmente critica e può sfociare in una vera e propria “tempesta perfetta” se emerge che il fornitore continua a vendere prodotti EOL con vulnerabilità note, esponendo i clienti a rischi significativi. In questo articolo esamineremo diversi avvisi di sicurezza riguardanti i prodotti Zyxel, compresi alcuni classificati come EOL (End-of-Life), e una vulnerabilità sfruttata negli attacchi ransomware.

Recenti falle di sicurezza nei prodotti Zyxel

Il CVE-2024-40891 è una grave vulnerabilità di tipo command injection nell’implementazione Telnet di alcuni dispositivi CPE (Customer Premises Equipment) Zyxel, nota dal 2024. Nei sei mesi successivi alla scoperta, Zyxel non ha rilasciato alcuna patch per risolvere il problema. L’azienda ha confermato che non verranno forniti aggiornamenti di sicurezza, poiché i dispositivi interessati “sono prodotti legacy che hanno raggiunto la fine del ciclo di vita (EOL)”. All’inizio del 2025, GreyNoise ha riportato lo sfruttamento attivo del CVE-2024-40891 contro dispositivi di rete CPE Zyxel vulnerabili. A metà febbraio 2025, questo CVE e il CVE-2024-40890 (CVSS 8.8) sono stati inseriti nella lista KEV (Known Exploited Vulnerabilities) della CISA (Cybersecurity and Infrastructure Security Agency). Mentre i primi due CVE rappresentavano vulnerabilità RCE post-autenticazione, il nuovo CVE-2025-0890 (CVSS 9.8), pubblicato il 4 febbraio, ha completato il quadro critico. Questo CVE evidenzia l’uso di credenziali predefinite estremamente deboli per i servizi accessibili da remoto, combinate con l’assenza di crittografia nel processo di autenticazione Telnet.

I ricercatori di VulnCheck, che inizialmente avevano scoperto le vulnerabilità, hanno evidenziato che il produttore continua a vendere dispositivi vulnerabili pur essendo al corrente che le falle di sicurezza sono sfruttate in modo attivo, senza alcuna intenzione di rilasciare patch. Il 25 febbraio 2025, alcuni dei prodotti interessati risultavano ancora in vendita sul negozio ufficiale Zyxel di Amazon[1][2]. In più, un’ulteriore falla di sicurezza nei prodotti Zyxel (CVE-2024-11667), è stata sfruttata attivamente per sferrare attacchi ransomware Helldown.

Nel settore delle telecomunicazioni, Zyxel detiene una quota di mercato stimata al 4,19% e serve circa 2.277 aziende, inclusi alcuni dei più grandi giganti tecnologici mondiali. Con sede a Hsinchu Science Park, Taiwan, il gruppo Zyxel è fornitore leader di soluzioni di rete per imprese e privati e opera in oltre 150 paesi in tutto il mondo.

Cronologia degli eventi:

  • 13/07/2024: VulnCheck informa Zyxel circa la presenza di falle di sicurezza nei prodotti della serie CPE.
  • 31/07/2024: VulnCheck pubblica sul suo blog informazioni relative al CVE-2024-40890 e CVE-2024-408911.
  • 28/01/2025: GreyNoise segnala lo sfruttamento attivo del CVE-2024-40891.
  • 03/02/2025: VulnCheck pubblica ulteriori informazioni che sottolineano il rischio derivante dalla posizione di Zyxel e fornisce prove che il fornitore continua a vendere online i dispositivi vulnerabili.
  • 04/02/2025: Zyxel pubblica un avviso di sicurezza che identifica i prodotti interessati come EOL e afferma che non verranno più aggiornati.

Descrizioni tecniche delle ultime vulnerabilità di Zyxel

Oltre ai lunghi tempi di risposta di Zyxel nei confronti dei ricercatori di sicurezza e alla decisione dell’azienda di continuare a vendere prodotti vulnerabili, la valutazione tecnica delle vulnerabilità ci permette di trarre alcune conclusioni. In particolare spicca il fatto che alcuni fornitori continuino a commercializzare prodotti con falle di sicurezza inaccettabili, evitando così di assumersi la responsabilità.

  • CVE-2024-40891 (CVSS 8.8 High): gli utenti autenticati possono sfruttare un’iniezione di comando Telnet a causa di una convalida inadeguata dell’input nella libreria `libcms_cli.so`. I comandi vengono inviati senza verifica a una funzione di esecuzione della shell, che l’esecuzione di qualsiasi codice RCE. Pur controllando se la stringa inizia con un comando autorizzato, la funzione `prctl_runCommandInShellWithTimeout` non applica ulteriori filtri, permettendo il concatenamento e l’inserimento di comandi arbitrari.
  • CVE-2024-40890 (CVSS 8.8 High): una vulnerabilità di Post-Authentication Command Injection nel programma CGI del DSL legacy Zyxel VMG4325-B10A Firmware Version 1.00(AAFR.4)C0_20170615 potrebbe consentire a un utente malintenzionato autenticato di eseguire comandi del sistema operativo su un dispositivo interessato inviando una richiesta http post manomessa.
  • CVE-2025-0890 (CVSS 9.8 Critical): l’uso di credenziali standard deboli come “admin:1234”, “zyuser:1234” e “supervisor:zyad1234” nei dispositivi Zyxel CPE rappresenta una grave vulnerabilità di sicurezza. Queste credenziali e i relativi account, sebbene non visibili tramite l’interfaccia web, sono facilmente accessibili nel file /etc/default.cfg del dispositivo, rendendoli noti agli aggressori. Gli account “supervisor” e “zyuser” possono accedere ai dispositivi da remoto tramite Telnet, dove “supervisor” gode di diritti nascosti per l’accesso completo al sistema e “zyuser” può sfruttare la vulnerabilità CVE-2024-40891 per eseguire codice arbitrario (RCE). Questa pratica viola principi di sicurezza fondamentali come l’obbligo CISA “Secure by Design” e il futuro Cyber Resilience Act (CRA) dell’UE

I prodotti Zyxel interessati comprendono la serie VMG1312-B (VMG1312-B10A, VMG1312-B10B, VMG1312-B10E, VMG3312-B10A, VMG3313-B10A, VMG3926-B10B, VMG4325-B10A, VMG4380-B10A, VMG8324-B10A, VMG8924-B10A) e due router della serie Zyxel Business Gateway (SBG3300 e SBG3500). I dispositivi della serie Zyxel CPE (Customer Premises Equipment) sono progettati per connettere a Internet abitazioni private e piccole imprese, fungendo da gateway per vari tipi di connessione come DSL, fibra ottica e wireless. Solitamente sono installati presso il cliente, consentono il collegamento alla rete dell’Internet Service Provider (ISP) e per loro natura non sono protetti da un firewall esterno. Considerando che i CPE Zyxel sono molto diffusi e che possono presentare vulnerabilità, è plausibile pensare che un numero significativo di questi dispositivi possa essere coinvolto in attività botnet dannose.

Greenbone è in grado di rilevare i dispositivi Zyxel EOL che presentano vulnerabilità come specificato nei CVE elencati in precedenza.

CVE-2024-11667: firewall Zyxel sfruttati per attacchi ransomware

Il CVE-2024-11667 (CVSS 9.8 Critical), pubblicato a fine dicembre 2024, rappresenta un errore di tipo Path-Traversal [CWE-22] individuato nella console di gestione web delle serie di firewall Zyxel ATP e USG Flex. Questa vulnerabilità è nota per essere sfruttata dal gruppo di minacce Helldown in attacchi ransomware, ed è stata oggetto di numerosi avvisi di sicurezza informatica nazionali[1][2].

Il gruppo ransomware Helldown è noto dall’agosto 2024 come importante attore di minacce nel panorama della sicurezza informatica. La sua strategia si basa su una doppia estorsione: prima esfiltra dati sensibili dalle organizzazioni bersaglio, poi utilizza il ransomware per crittografare i sistemi delle vittime. In caso di mancato pagamento del riscatto, Helldown minaccia di pubblicare i dati sottratti sul proprio sito Data Leak. Helldown non si limita a sfruttare le vulnerabilità dei dispositivi Zyxel, ma è noto anche per colpire sistemi operativi Windows, ambienti VMware ESX e Linux. Spesso, il gruppo utilizza credenziali VPN compromesse per muoversi lateralmente all’interno delle reti target.

Zyxel ha effettivamente pubblicato un avviso riguardante gli attacchi ransomware e ha rilasciato patch per i prodotti interessati dalle vulnerabilità. Greenbone è in grado di rilevare i dispositivi Zyxel interessati dal CVE-2024-11667 attraverso tre test distinti di riconoscimento delle versioni, specifici per ciascun prodotto colpito[1][2][3].

Per riassumere

Quanto accaduto a Zyxel rappresenta effettivamente una “tempesta perfetta” nel campo della sicurezza informatica e solleva importanti questioni circa le opzioni a disposizione dei clienti quando un fornitore non chiude una falla di sicurezza. I dispositivi di rete Zyxel a fine vita (EOL) continuano a essere bersaglio di attacchi attivi che sfruttano vulnerabilità che, se combinate, possono portare a gravi compromissioni come l’esecuzione remota di codice (RCE) non autorizzata. La gravità della situazione è evidenziata dall’inclusione di CVE-2024-40891, CVE-2024-40890 e CVE-2025-0890 nella lista KEV della CISA, mentre il CVE-2024-11667 è collegato direttamente ad attacchi ransomware. I ricercatori di VulnCheck, che hanno scoperto numerose vulnerabilità simili, hanno mosso critiche a Zyxel per la comunicazione inadeguata e la continua vendita di dispositivi EOL privi di patch. In risposta a questa situazione critica, Greenbone offre una soluzione proattiva. L’azienda ha sviluppato strumenti in grado di rilevare i prodotti Zyxel vulnerabili, consentendo agli utenti di adottare un approccio preventivo alla gestione delle vulnerabilità.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Joseph Lee

Threat Report gennaio 2025: farsi trovare preparati conviene

Quest’anno, numerose grandi aziende di tutto il mondo si troveranno a dover affrontare le conseguenze di attacchi informatici. Molte vulnerabilità conosciute costituiscono canali privilegiati per accedere a risorse di rete sensibili. Nel nostro primo Threat Report del 2025 analizziamo le principali violazioni del 2024, oltre ai data breach più importanti di gennaio 2025.

Un dato interessante: le vulnerabilità qui riportate rappresentano solo la punta dell’iceberg. A gennaio 2025 sono state pubblicate oltre 4.000 nuove CVE (Common Vulnerabilities and Exposures), di cui 22 hanno ottenuto un punteggio CVSS massimo di 10 e 375 e sono quindi considerate ad alto rischio. La crescente ondata di vulnerabilità critiche in dispositivi di edge networking persiste, con nuove falle scoperte nei prodotti di aziende leader del settore tecnologico come Microsoft, Apple, Cisco, Fortinet, Palo Alto Networks, Ivanti e Oracle. Queste esposizioni sono state aggiunte al catalogo KEV (Known Exploited Vulnerabilities) della CISA (Cybersecurity and Infrastructure Security Agency).

Mitigazione dei rischi nella supply chain: responsabilità condivise

Nell’era digitale, la dipendenza quotidiana da software di terze parti rende imprescindibile un rapporto di fiducia con questi strumenti. Tuttavia, quando questa fiducia viene compromessa, sia per negligenza, intenti malevoli o errori umani, la responsabilità della sicurezza informatica grava inevitabilmente sull’utente finale. La capacità di mitigare i rischi è strettamente legata alle competenze tecniche e alla collaborazione tra le parti coinvolte. Nel 2025, i professionisti della cybersecurity devono essere pienamente consapevoli di questa complessa realtà.

In caso di compromissione della sicurezza nella catena di approvvigionamento, condurre un’indagine approfondita sulle cause scatenanti diventa un imperativo. Valuta se il fornitore del software ha messo a disposizione gli strumenti necessari per gestire autonomamente i risultati delle tue misure di sicurezza. È necessario valutare se il fornitore del software ha reso disponibili gli strumenti essenziali per gestire in autonomia i risultati delle misure di sicurezza adottate. Inoltre, occorre verificare che i responsabili della sicurezza informatica sanno identificare ed eliminare le vulnerabilità. Oppure se i dipendenti sono stati adeguatamente formati per riconoscere gli attacchi di phishing e se sono state implementate altre misure di cybersecurity appropriate. Le aziende devono rafforzare le proprie difese contro i ransomware, valutando regolarmente il rischio e dando priorità alla gestione delle patch. Infine, devono verificare l’esistenza di strategie di backup affidabili che soddisfino gli obiettivi di recupero e implementare ulteriori controlli di sicurezza di base per salvaguardare i dati sensibili e prevenire interruzioni operative.

La soluzione? L’approccio proattivo

Il report annuale 2024 del National Cyber Security Center britannico offre un quadro preoccupante: il numero di attacchi informatici significativi è triplicato rispetto al 2023. Parallelamente, il CSIS (Center for Strategic and International Studies) ha pubblicato un elenco dettagliato dei principali incidenti informatici del 2024, fornendo una visione d’insieme del panorama globale delle minacce. Il conflitto Russia-Ucraina ha contribuito a influenzare questo scenario. Inoltre, la rapida transizione globale da cooperazione internazionale a una crescente ostilità ha ulteriormente aggravato i rischi, delineando un contesto sempre più complesso e instabile.

Secondo il rapporto di sicurezza 2024 di Check Point Research, il 96% delle vulnerabilità sfruttate nel 2024 aveva più di un anno. Questo dato risulta incoraggiante per i difensori proattivi, perché dimostra che le aziende che adottano un approccio di gestione delle vulnerabilità sono meglio preparate contro attacchi ransomware mirati e attacchi di massa. Una cosa è chiara: la sicurezza informatica proattiva si rivela fondamentale nel ridurre i costi associati alle violazioni della sicurezza.

Analizziamo due delle violazioni della sicurezza più significative del 2024:

  • La violazione dei dati di Change Healthcare: nonostante una generale diminuzione delle violazioni nel settore sanitario rispetto al picco del 2023, l’attacco ransomware contro Change Healthcare ha stabilito un nuovo primato, coinvolgendo 190 milioni di persone. I costi associati hanno raggiunto la cifra astronomica di 2,457 miliardi di dollari. In seguito all’incidente, lo stato del Nebraska ha intrapreso un’azione legale contro l’azienda, accusandola di gestire sistemi IT obsoleti non conformi agli standard di sicurezza aziendali. Secondo le stime di IBM, le violazioni nel settore sanitario sono le più onerose, con un costo medio di 9,77 milioni di dollari nel 2024.
  • I Typhoon fanno irruzione nelle aziende americane: il suffisso “Typhoon” è utilizzato nella nomenclatura di Microsoft per indicare gruppi di minacce di origine cinese. Il gruppo cinese Salt Typhoon, sostenuto dallo stato, si è infiltrato nelle reti di almeno nove grandi società di telecomunicazioni statunitensi, ottenendo accesso ai metadati delle chiamate e dei messaggi degli utenti, nonché alle registrazioni audio di alti funzionari governativi. Volt Typhoon ha compromesso le reti di Singapore Telecommunications (SingTel) e di altri operatori di telecomunicazioni a livello globale. Questi gruppi hanno sfruttato vulnerabilità in dispositivi di rete obsoleti, inclusi server Microsoft Exchange non aggiornati, router Cisco, firewall Fortinet e Sophos, e applicazioni VPN Ivanti. Greenbone è in grado di rilevare tutte le vulnerabilità software note associate agli attacchi di Salt Typhoon e Volt Typhoon.
    [1][2].

Il Regno Unito e il divieto alle organizzazioni pubbliche di pagare riscatti ransomware

Nell’ambito della lotta al ransomware, il governo britannico ha proposto di vietare alle organizzazioni pubbliche e alle infrastrutture critiche il pagamento di riscatti con l’obiettivo di disincentivare i criminali informatici dal prenderle di mira. Tuttavia, un recente rapporto  del National Audit Office (NAO) sottolinea che “la minaccia informatica per il governo del Regno Unito è grave e in rapida evoluzione”.

L’FBI, la CISA e l’NSA sconsigliano il pagamento dei riscatti in caso di attacchi ransomware. Pagare non garantisce il recupero dei dati crittografati né impedisce la diffusione di informazioni sottratte; al contrario, potrebbe incentivare ulteriori attività criminali. D’altro canto, secondo alcune analisi, molte piccole e medie imprese potrebbero non essere in grado di sostenere finanziariamente i tempi di inattività causati da un attacco ransomware. Questo solleva un dilemma: è accettabile che i criminali informatici traggano profitto, mentre le risorse che potrebbero essere destinate allo sviluppo di talenti locali vengono invece utilizzate per pagare riscatti?

Vulnerabilità in SonicWall SMA 1000 sfruttata in modo attivo

Microsoft Threat Intelligence ha scoperto che la vulnerabilità CVE-2025-23006 con un punteggio di 9.8 (Critico)  secondo il Common Vulnerability Scoring System (CVSS), è attivamente sfruttata nei gateway SonicWall SMA 1000. Questa falla deriva dalla deserializzazione  [CWE-502] di dati non affidabili. Un aggressore remoto non autenticato con accesso alle console di gestione Appliance Management Console (AMC) e Central Management Console (CMC) potrebbe eseguire comandi arbitrari sul sistema operativo del dispositivo. SonicWall ha rilasciato l’hotfix versione 12.4.3-02854 per risolvere questa vulnerabilità.

Sebbene non sia stato identificato alcun codice exploit pubblicamente disponibile, numerose agenzie governative hanno emesso avvisi riguardanti la vulnerabilità CVE-2025-23006, tra cui la Confederazione tedesca BSI CERT, il Centro canadese per la sicurezza informatica, il CISA e il NHS (National Health Service) del Regno Unito. Greenbone è in grado di rilevare sistemi SonicWall interessati da questa vulnerabilità verificando da remoto la versione indicata nel banner di servizio.

CVE-2024-44243 per rootkit persistenti in macOS

Gennaio 2025 è stato un mese pieno di sfide per la sicurezza Apple. Microsoft Threat Intelligence ha condotto un test di sicurezza su macOS, individuando una vulnerabilità che potrebbe consentire alle applicazioni installate di alterare il System Integrity Protection (SIP) del sistema operativo. Questa falla potrebbe permettere agli aggressori di installare rootkit e malware persistenti, nonché di eludere Transparency, Consent and Control (TCC), il meccanismo che gestisce i permessi di accesso delle applicazioni alle cartelle. Nonostante l’assenza di segnalazioni di attacchi attivi, Microsoft ha reso disponibili dettagli tecnici sulla vulnerabilità.

Alla fine di gennaio 2025, sono stati identificati 88 nuovi CVE, di cui 17 con livello di gravità critica (CVSS), che interessano l’intera gamma di prodotti Apple. Una di queste, CVE-2025-24085, è stata rilevata in attacchi attivi ed è stata aggiunta al catalogo KEV della CISA. Inoltre, sono state scoperte due vulnerabilità potenzialmente sfruttabili nei chip delle serie M di Apple, denominate SLAP e FLOP, per le quali non sono ancora stati assegnati CVE. Con SLAP i ricercatori hanno sfruttato le vulnerabilità del chip per manipolare le tecniche di allocazione dell’heap nel Safari WebKit e alterare i metadati delle stringhe JavaScript. Questo ha permesso loro di eseguire letture speculative fuori dai limiti, estraendo contenuti sensibili del DOM da altre schede del browser. Per quanto riguarda FLOP, gli esperti hanno dimostrato che è possibile rubare dati sensibili da Safari e Google Chrome bypassando la verifica del tipo JavaScript nel Safari WebKit e l’isolamento del sito in Chrome tramite WebAssembly.

Inoltre, sono state identificate cinque vulnerabilità critiche che interessano Microsoft Office per macOS, tutte con potenziali exploit che potrebbero portare all’esecuzione remota di codice (RCE). I prodotti coinvolti includono Microsoft Word (CVE-2025-21363), Excel (CVE-2025-21354 e CVE-2025-21362) e OneNote (CVE-2025-21402) per macOS. Sebbene al momento manchino dettagli tecnici specifici su queste vulnerabilità, è altamente consigliato aggiornare i software interessati il prima possibile per mitigare i rischi associati.

Il Greenbone Enterprise Feed rileva gli aggiornamenti di sicurezza mancanti per macOS e identifica numerose vulnerabilità (CVE) che interessano le applicazioni macOS, inclusi i cinque CVE recentemente scoperti in Microsoft Office per Mac.

6 vulnerabilità in Rsync consentono la compromissione di server e client

La combinazione die due vulnerabilità recentemente identificate può consentire l’esecuzione remota di codice su server Rsyncd vulnerabili, mantenendo un accesso anonimo in sola lettura. CVE-2024-12084, è un overflow del buffer heap e CVE-2024-12085 riguarda una perdita di informazioni. I mirror pubblici che utilizzano Rsyncd sono particolarmente a rischio, poiché non dispongono di propri controlli di accesso.

Inoltre, i ricercatori hanno rilevato che un server Rsyncd compromesso può leggere e scrivere qualsiasi file sui client collegati, consentendo il furto di informazioni sensibili e, potenzialmente, l’esecuzione di codice dannoso attraverso la modifica di file eseguibili.

Ecco un riepilogo delle nuove vulnerabilità, ordinate per gravità CVSS:

  • CVE-2024-12084 (CVSS 9.8 Critical): una gestione impropria della lunghezza del checksum può causare un overflow del buffer heap, portando potenzialmente all’esecuzione remota di codice.
  • CVE-2024-12085 (CVSS 7.5 High): la presenza di contenuti non inizializzati nello stack può esporre informazioni sensibili.
  • CVE-2024-12087 (CVSS 6.5 Medium): la vulnerabilità Path Traversal in Rsync consente di accedere a file non autorizzati sul client.
  • CVE-2024-12088 (CVSS 6.5 High): la vulnerabilità di Path Traversal attraverso l’opzione –safe-links può consentire la scrittura arbitraria di file al di fuori della directory prevista.
  • CVE-2024-12086 (CVSS 6.1 High): i server Rsync possono esporre file sensibili dei client durante le operazioni di copia, potenzialmente rivelando dati riservati.
  • CVE-2024-12747 (CVSS 5.6 High): una gestione inadeguata dei collegamenti simbolici in Rsync può causare una condizione di gara che, se sfruttata, consente l’escalation dei privilegi quando un utente malintenzionato controlla il processo Rsyncd.

Nel complesso, queste vulnerabilità rappresentano un serio rischio di esecuzione di codice remoto (RCE), esfiltrazione di dati e installazione di malware persistenti sia sui server Rsyncd che su client ignari.Gli utenti devono installare la patch di Rsync, eseguire una scansione approfondita degli Indicators of Compromise (IoC) su tutti i sistemi che hanno utilizzato Rsync e, se necessario, rivedere l’infrastruttura per la condivisione dei file. Greenbone è in grado di rilevare tutte le vulnerabilità note in Rsync e di identificare l’assenza di aggiornamenti di sicurezza critici.

CVE-2025-0411: 7-Zip consente l’aggiramento di MotW

Il 25 gennaio 2025 è stata resa nota la vulnerabilità CVE-2025-0411 (punteggio CVSS 7.5 – High), che interessa il software di archiviazione 7-Zip. Questa falla permette di aggirare il meccanismo di sicurezza “Mark of the Web” (MotW) di Windows tramite archivi appositamente predisposti. MotW contrassegna i file scaricati da Internet con un identificatore di zona (ADS), avvisando l’utente quando alcuni contenuti sono potenzialmente non sicuri. Tuttavia, nelle versioni di 7-Zip precedenti alla 24.09, il meccanismo MotW veniva eliminato nei file estratti da tali archivi, esponendo il sistema a rischi. Per sfruttare questa vulnerabilità, un attaccante necessita dell’interazione dell’utente, che dovrebbe aprire un archivio infetto e successivamente eseguire un file dannoso in esso contenuto.

Una ricerca di Cofense  ha rilevato che i siti web governativi di tutto il mondo vengono utilizzati in modo improprio tramite CVE-2024-25608, una vulnerabilità nella piattaforma digitale Liferay che viene sfruttata per il credential phishing, malware e operazioni di comando e controllo (C2). Questa falla consente agli aggressori di reindirizzare gli utenti da URL .gov affidabili verso siti di phishing malevoli. La combinazione dei reindirizzamenti da domini .gov con la vulnerabilità di 7-Zip presenta il rischio elevato per la diffusione nascosta di malware.

Per mitigare questa vulnerabilità, è essenziale aggiornare manualmente 7-Zip alla versione 24.09, disponibile dalla fine del 2024. Come accennato nell’introduzione, la sicurezza della supply chain del software spesso si colloca in una zona grigia, poiché tutti dipendiamo da software al di fuori del nostro controllo. È interessante notare che, prima della divulgazione della vulnerabilità CVE-2025-0411, 7-Zip non aveva avvisato gli utenti riguardo a tale problema. Sebbene 7-Zip sia un software open source, il repository Github del prodotto non fornisce dettagli o informazioni di contatto per una divulgazione responsabile.

Inoltre, la vulnerabilità CVE-2025-0411 ha attivato notifiche da parte di DFN-CERT e BSI CERT-Bund[1][2]. Greenbone è in grado di individuare le versioni vulnerabili di 7-Zip.

Per riassumere

Questa edizione del nostro report mensile sulle minacce informatiche si concentra su significative violazioni della sicurezza avvenute nel 2024 e sulle nuove vulnerabilità critiche scoperte a gennaio 2025. La supply chain del software rappresenta un rischio crescente per aziende di ogni dimensione e interessa sia prodotti open source che proprietari. Tuttavia, il software open source offre trasparenza e la possibilità per le parti interessate di impegnarsi proattivamente per migliorare la sicurezza tramite un approccio collaborativo o indipendente. Sebbene i costi della sicurezza informatica siano elevati, il progresso delle competenze tecniche diventerà sempre più un fattore decisivo per la protezione di aziende e stati. La fortuna sta dalla parte di chi si fa trovare preparato.

Contatto Prova Ora Acquista Torna alla Panoramica

/da
Greenbone AG

Nuove interessanti funzionalità per le Enterprise Appliance di Greenbone

Siamo lieti di annunciare il lancio di importanti aggiornamenti al Greenbone Operating System (GOS), il software alla base delle nostre appliance aziendali fisiche e virtuali. Questi aggiornamenti introducono nuove funzionalità front-end per migliorare la gestione delle vulnerabilità aziendali e allo stesso tempo potenziano le prestazioni nel back-end. La versione 24.10 del GOS riflette l’impegno di Greenbone nel promuovere buone pratiche di sicurezza informatica, permettendo alle organizzazioni di identificare e risolvere rapidamente le vulnerabilità.

In questo articolo presentiamo le nuove funzionalità e i miglioramenti che rendono le nostre appliance aziendali ancora più efficaci nella gestione delle esposizioni e della conformità alla sicurezza informatica.

Tutte le nuove funzionalità di GOS 24.10

Greenbone Security Assistant (GSA) rende la sicurezza informatica un argomento tangibile per i responsabili IT. La rinnovata interfaccia web GSA presenta un design moderno e minimalista che privilegia l’usabilità, mantenendo l’accessibilità alle potenti funzionalità di Greenbone. Questo restyling estetico è solo l’inizio: sono previsti cambiamenti più sostanziali che trasformeranno ulteriormente l’esperienza d’uso.

Finestra di visualizzazione del nuovo report di audit di conformità

La cybersecurity compliance sta assumendo un ruolo sempre più centrale. Le recenti normative UE come il Digital Operational Resilience Act (DORA), la Network and Information Security Directive 2 (NIS2) e il Cyber Resilience Act (CRA) impongono alle organizzazioni di implementare misure più proattive per salvaguardare la propria infrastruttura digitale. Altri fattori come l’adozione di assicurazioni specifiche per la cybersecurity, l’aumento della richiesta di verifiche esterne indipendenti e una responsabilità più elevata nei confronti dei clienti riguardo la protezione dei dati, stanno inducendo le organizzazioni a riconsiderare e potenziare i propri approcci alla gestione e al monitoraggio della sicurezza informatica.

L’aggiornamento GOS 24.10 introduce una nuova modalità di visualizzazione focalizzata sulla compliance, progettata per migliorare la comprensione dell’allineamento normativo e delle politiche. L’interfaccia utente rinnovata offre una migliore visibilità dei rischi per la sicurezza informatica, favorendo l’allineamento con gli obiettivi di governance IT. Questa vista include report di audit di conformità, nuove visualizzazioni della dashboard e opzioni di filtro avanzate. Le funzionalità permettono di separare efficacemente i dati relativi alla conformità dai report di scansione standard. Inoltre, i report di audit Delta mettono in evidenza i progressi nella conformità attraverso indicatori visivi e suggerimenti, facilitando l’identificazione delle aree di miglioramento.

Il supporto EPSS aggiunge la prioritizzazione basata sull’intelligenza artificiale

Con il costante aumento dei nuovi CVE (Common Vulnerabilities and Exposures), diventa essenziale stabilire delle priorità tra le vulnerabilità per focalizzarsi sulle minacce più critiche. L’Exploit Prediction Scoring System (EPSS) è un sistema di valutazione basato sull’intelligenza artificiale in grado di calcolare la probabilità che un CVE venga effettivamente sfruttato. Questo sistema utilizza il machine learning (ML) per analizzare dati storici e prevedere quali nuovi CVE hanno maggiori probabilità di essere oggetto di attacchi attivi.

I dati EPSS sono ora parte integrante delle nostre appliance aziendali. Le probabilità di sfruttamento, regolarmente aggiornate per ogni CVE attivo, sono ora disponibili nella piattaforma Greenbone. Gli amministratori possono utilizzare punteggi e percentili di probabilità di exploit aggiornati, in aggiunta alla tradizionale valutazione della gravità CVSS. Questo consente loro di concentrarsi sulle vulnerabilità più critiche e urgenti nelle loro operazioni di sicurezza.

Funzionalità di esportazione di report CSV e JSON più flessibili

Greenbone ha sempre adottato un approccio incentrato sulla semplicità e sulla flessibilità, permettendo alle sue soluzioni di adattarsi a una vasta gamma di esigenze operative specifiche. La versione GOS 24.10 introduce una nuova funzionalità: l’esportazione dei report in formato JSON. Inoltre, gli utenti hanno ora la possibilità di personalizzare i campi nei report esportati in formato CSV e JSON. Questa caratteristica consente di adattare i report direttamente all’interno di Greenbone, permettendo di soddisfare con maggiore precisione i requisiti specifici dei report e di focalizzarsi sugli elementi essenziali per l’analisi, la conformità o il processo decisionale.

Ulteriori ottimizzazioni nel backend

Per migliorare la flessibilità e l’accuratezza nell’identificazione delle vulnerabilità, Greenbone ha implementato diverse ottimizzazioni del back-end, focalizzandosi sulla gestione del CPE (Common Platform Enumeration) e dei feed. Ecco una panoramica delle novità introdotte:

  • Il back-end è ora in grado di convertire le stringhe CPEv2.3 in URI CPEv2.2, conservando entrambe le versioni per garantire una corrispondenza più affidabile dei prodotti interessati. Futuri sviluppi potrebbero includere un sistema di corrispondenza avanzato e in tempo reale, aumentando ulteriormente la precisione nella valutazione delle vulnerabilità.
  • Le appliance aziendali Greenbone hanno introdotto il supporto per feed CVE, CPE, EPSS e CERT basati su JSON, oltre alla compressione dei dati tramite gzip.

Indice

Di recente, Greenbone ha rilasciato una serie di aggiornamenti importanti per le sue Enterprise Appliances, introducendo diverse nuove funzionalità e miglioramenti. Gli aggiornamenti introducono un’interfaccia web GSA modernizzata, una visualizzazione dei report di audit incentrata sulla conformità per una migliore visibilità e funzionalità avanzate di esportazione CSV e JSON che offrono agli utenti il controllo sui dati dei report Inoltre, abbiamo aggiunto EPS basati sull’intelligenza artificiale alle opzioni disponibili per la prioritizzazione del rischio di vulnerabilità. Infine, le ottimizzazioni del back-end garantiscono una perfetta compatibilità con i nuovi formati CPE e i feed basati su JSON. Insieme, queste funzionalità si aggiungono alle capacità di gestione delle vulnerabilità adattabili di Greenbone, consentendo alle organizzazioni di stare al passo con le minacce emergenti con il rilevamento e la definizione delle priorità delle vulnerabilità leader del settore.

Contatto Prova Ora Acquista Torna alla Panoramica

/da