Lug 04, 2024 Marina Londei In evidenza, News, RSS, Tecnologia, Vulnerabilità 0

---

Migliaia di dispositivi Apple sono vulnerabili ad attacchi supply chain a causa di alcune debolezze in CocoaPods: lo hanno scoperto i ricercatori di E.V.A. Information Security, i quali hanno evidenziato che le organizzazioni rischiano danni finanziari e reputazionali a causa di questi attacchi.

CocoaPods è un dependency manager open source per Swift e i progetti in Objective C. Il gestore si occupa di scaricare le librerie di cui hanno bisogno gli sviluppatori e verificarne l’integrità.

L’ecosistema però, a quanto pare, soffre di diverse vulnerabilità: il team di E.V.A. Information Security spiega che nel 2014 si è verificato un processo di migrazione dei pacchetti che ha lasciato però migliaia di essi “orfani”, senza un owner che li reclamasse, e molti di questi sono ancora ampiamente usati in altre librerie. Usando un’API pubblica e un indirizzo email trovati nel codice sorgente di CocoaPods, un attaccante può reclamare uno o più di questi pacchetti come suo e rimpiazzarne il codice sorgente con un payload malevolo.

Il team ha scoperto anche che il flusso di verifica di email è insicuro e può essere sfruttato per eseguire codice arbitrario sul server “Trunk” dell’ecosistema, consentendo a un attaccante di manipolare o rimpiazzare i pacchetti che vengono scaricati. Sono inoltre presenti delle configurazioni errate nei tool di sicurezza per l’email che permetterebbero a un attaccante di eseguire lo spoofing di un header HTTP ed eseguire un attacco zero-click per ottenere il token di verifica dell’account dello sviluppatore.

Infine, una quarta vulnerabilità consentirebbe a un attaccante di accedere al server Trunk di CocoaPods ed eseguire numerosi exploit di varia natura.

CocoaPods: migliaia di device Apple vulnerabili

CocoaPods è molto popolare tra gli sviluppatori e molte delle librerie “orfane” sono presenti come dipendenze in progetti di grandi compagnie come Google, GitHub, Amazon, Dropbox e molte altre.

Secondo la stima dei ricercatori di E.V.A. Information Security, migliaia di dispositivi Apple sono vulnerabili ad attacchi supply chain e zero-click, ma il numero potrebbe arrivare anche a milioni di applicazioni. “Come con molti altri attacchi supply chain, le dipendenze opache nel codice closed-source rendono quasi impossibile capire il potenziale danno” spiegano i ricercatori.

Se è vero che molte applicazioni non accedono alle informazioni sensibili degli utenti, la possibilità di iniettare codice malevolo nelle app tramite le librerie senza owner permetterebbe agli attaccanti sostanzialmente di prendere il controllo del dispositivo e attaccare le vittime con ransomware, truffe e campagne di spionaggio nel caso di dispositivi aziendali. 

È fondamentale che gli sviluppatori effettuino una review delle librerie in uso e validino i checksum dei pacchetti di terze parti; inoltre, è consigliabile effettuare delle scansioni periodiche delle librerie per individuare codice malevolo o modifiche sospette, e in generale limitare l’uso di pacchetti “orfani” o non più mantenuti. 

---

---

---

https://www.securityinfo.it/2024/07/04/le-vulnerabilita-di-cocoapods-mettono-in-pericolo-migliaia-di-device-apple/?utm_source=rss&utm_medium=rss&utm_campaign=le-vulnerabilita-di-cocoapods-mettono-in-pericolo-migliaia-di-device-apple

Dall’entrata in vigore della Direttiva NIS nel 2016, il contesto delle minacce informatiche ha subito significative trasformazioni, registrando un incremento del numero, dell’entità, della sofisticazione e della frequenza degli incidenti informatici. Sebbene la Direttiva NIS abbia costituito un passo iniziale rilevante, questa evoluzione ha messo in luce l’insufficienza del quadro normativo vigente e le disparità nella sua applicazione tra gli Stati membri dell’Unione Europea, manifestando la necessità di un aggiornamento normativo per rispondere efficacemente ai rischi emergenti e alle sfide del futuro.

In risposta alla crescente esigenza di rafforzare la sicurezza informatica e la resilienza del sistema economico e sociale europeo, il 14 dicembre 2020, la Commissione Europea ha avanzato una proposta di aggiornamento della Direttiva NIS, culminata con l’emanazione della Direttiva (UE) 2022/2555, nota come NIS2, il 27 dicembre 2022 da parte del Parlamento Europeo e del Consiglio. Questa nuova direttiva abroga la precedente, introducendo un rinnovato impegno verso l’uniformità e il potenziamento delle misure di sicurezza informatica per gli operatori essenziali e importanti, con l’obbligatorio recepimento della normativa da parte degli Stati membri entro il 17 ottobre 2024.

La NIS2 si distingue per il suo approccio sistematico e coerente, mirato a colmare le lacune precedentemente identificate e armonizzare le disposizioni relative alla gestione del rischio di cybersicurezza e alla notifica degli incidenti informatici. Essa estende l’ambito di applicazione per includere nuove esigenze di tutela in settori emergenti e nell’economia digitale interconnessa, mirando così a potenziare la resilienza delle infrastrutture critiche e a favorire la cooperazione e lo scambio di informazioni tra gli Stati membri dell’Unione Europea. In tale ottica, la Direttiva stabilisce obblighi più definiti per gli operatori e accresce notevolmente i requisiti per l’implementazione delle best practice di sicurezza informatica. Per assicurare la conformità a tali requisiti ed obblighi, vengono introdotti meccanismi di vigilanza ed esecuzione uniformi ed efficaci, corredati da sanzioni legali più rigide per le violazioni.

Con lo schema di Decreto legislativo, approvato il 10 giugno 2024, si realizza un’importante evoluzione nella legislazione italiana per allinearsi alle disposizioni della Direttiva (UE) 2022/2555. Tale decreto incorpora un insieme di interventi strategici finalizzati a potenziare la resilienza e la sicurezza delle infrastrutture critiche di rete e dei sistemi informativi. In questo contesto normativo, l’Agenzia per la Cybersicurezza Nazionale (ACN) è stata confermata autorità nazionale responsabile per la gestione e il coordinamento delle misure di sicurezza informatica, operando come principale interfaccia per le relazioni con altri Stati membri e con le istituzioni europee.

Il decreto de quo stabilisce criteri precisi per identificare i soggetti tenuti a implementare strategie efficaci di gestione dei rischi cibernetici e a segnalare tempestivamente eventuali incidenti. Tali requisiti si estendono a un ampio spettro di operatori essenziali attivi in settori chiave come energia, trasporti, settore bancario, gestione delle acque potabili e reflue, produzione alimentare, sanità, spazio e infrastrutture digitali, al fine di preservare la sicurezza e il benessere collettivi.

Lo schema di Decreto introduce una novità di rilievo: l’obbligo di iscrizione per i soggetti che rientrano nell’ambito di applicazione della normativa. L’articolo 7, paragrafo 1, prevede che tali soggetti debbano registrarsi, o aggiornare annualmente la propria registrazione, sulla piattaforma digitale resa disponibile dall’Autorità nazionale competente NIS.

L’obbligo di registrazione sarà operativo non appena la piattaforma dell’Autorità sarà accessibile e, successivamente, dovrà essere adempiuto tra il 1° gennaio e il 28 febbraio di ogni anno. Il processo di registrazione richiede la comunicazione di dati accurati e aggiornati, come la ragione sociale, l’indirizzo, i recapiti, la designazione di un punto di contatto e i settori di appartenenza indicati nel suddetto articolo.

La summenzionata procedura è fondamentale per garantire che le organizzazioni siano correttamente classificate come soggetti essenziali o importanti, facilitando una gestione efficace e uniforme delle politiche di sicurezza informatica, come delineato negli articoli 3 e 6 del Decreto. Inoltre, questo adempimento è necessario per consentire all’Agenzia per la Cybersicurezza Nazionale di svolgere le proprie funzioni di supervisione, controllo e gestione della sicurezza informatica, in conformità con quanto stabilito nel Decreto stesso: la registrazione, infatti, fornisce all’ACN le informazioni necessarie per identificare e monitorare tali soggetti, assicurando che rispettino le misure di sicurezza prescritte. Analogamente, l’aggiornamento dei dati consente all’ACN di mantenere un elenco accurato e aggiornato di questi soggetti, garantendo che siano sottoposti ai necessari controlli.

Secondo l’articolo 7, l’Autorità nazionale competente NIS è responsabile della verifica delle informazioni trasmesse dai soggetti registrati, assicurando che rispettino i requisiti normativi per l’inclusione nell’elenco previsto dallo stesso articolo. La mancata o tardiva registrazione rappresenta un’inadempienza agli obblighi normativi e comporta l’applicazione di sanzioni amministrative pecuniarie, che possono essere aumentate fino al triplo, come previsto dall’articolo 38, comma 13, del Decreto.

Tanto premesso, l’accuratezza e la tempestività nella registrazione e nell’aggiornamento delle informazioni sono essenziali per garantire l’integrità e l’efficacia delle misure di sicurezza informatica richieste dal legislatore nazionale, per cui, la loro inosservanza, comporta il rischio di incorrere in ulteriori severe sanzioni.

L’Autorità NIS è abilitata a imporre, nei confronti delle persone fisiche responsabili di un’entità, o che agiscono come suoi rappresentanti legali, nonché di coloro che esercitano funzioni dirigenziali in qualità di amministratore delegato o rappresentante legale di un’entità rilevante o significativa, la sanzione amministrativa accessoria dell’incapacità a ricoprire incarichi dirigenziali presso la stessa entità. La disposizione in commento, avente un forte effetto deterrente, colpisce personalmente i dirigenti aziendali e costituisce una modifica sostanziale rispetto alla Direttiva, che prevede tale sanzione accessoria solo per le entità essenziali.

Nell’ambito delle disposizioni contenute nel decreto, l’art. 27 assume un’importanza significativa, in quanto stabilisce una connessione diretta tra la conformità alle norme di sicurezza e l’uso di tecnologie certificate. In questo contesto, l’Autorità nazionale competente NIS può imporre ai soggetti essenziali e importanti di utilizzare categorie di prodotti TIC, servizi TIC e processi TIC, sviluppati dal soggetto essenziale o importante o acquistati da terze parti, che siano certificati nell’ambito dei sistemi europei di certificazione della cybersicurezza. In attesa che tali sistemi europei di certificazione siano definitivamente adottati, l’Autorità nazionale competente NIS può altresì imporre l’adozione di prodotti, servizi e processi TIC che siano certificati secondo schemi nazionali o europei già riconosciuti.

Dall’analisi dell’articolo 27 e delle misure di sicurezza specificate nel decreto si evidenzia un’attenzione particolare alla protezione delle informazioni, in termini di confidenzialità, disponibilità e resilienza dei sistemi informativi, nonché all’importanza della continuità operativa. In questo contesto, il comma 2 del suddetto articolo si presume faccia riferimento a standard internazionali riconosciuti, come la ISO/IEC 27001 e la ISO 22301.

Lo standard internazionale ISO/IEC 27001 fornisce requisiti per la gestione della sicurezza delle informazioni, enfatizzando la confidenzialità, l’integrità e la disponibilità delle informazioni. Questo standard aiuta le organizzazioni a mitigare i rischi informatici e proteggere i dati sensibili attraverso un sistema di gestione continuativo e strutturato. Parallelamente, lo standard ISO 22301 stabilisce criteri per la gestione della continuità operativa, coprendo la pianificazione, l’attuazione, il monitoraggio e la revisione di un sistema di gestione per affrontare e mitigare incidenti destabilizzanti. Essenziale per la resilienza dei sistemi informativi, questo standard assicura la continuità delle operazioni durante disastri o gravi interruzioni.

Stante ciò, gli standard ISO/IEC 27001 e ISO 22301 forniscono un quadro solido per raggiungere e dimostrare l’elevato livello di sicurezza delle informazioni e di continuità operativa richiesto dal Decreto. Pertanto, l’implementazione combinata dei due standard attraverso un sistema di gestione integrato contribuisce alla conformità con lo schema di Decreto.

Ne consegue che l’approccio proattivo e le sanzioni rigorose in caso di non conformità riflettono la necessità di elevare gli standard di sicurezza informatica.

In conclusione, la strategia delineata non solo consente di proteggere le infrastrutture critiche nazionali ed europee, ma tutela anche la società nel suo insieme, enfatizzando la necessità di sistemi informativi sicuri e resilienti in un ambiente sempre più digitalizzato.

Articolo a cura di Lara Maugeri e Antonietta Riccardi

https://www.ictsecuritymagazine.com/articoli/la-direttiva-nis2-il-quadro-giuridico-italiano/

A report by Bugcrowd finds that 1 in 3 security leaders believe that half of organizations are willing to trade their customer’s privacy in order to save money. By surveying more than 200 security leaders across the globe, the report aimed to better understand the nuanced role of the CISO. Key findings include: 

• 91% of security leaders anticipate AI will outpace the capabilities of security teams. 
• 56% report that their teams are understaffed, and 87% are currently hiring. 
• Due to AI adoption, 70% plan to decrease the headcount on their security teams within the next 5 years.

Security leaders weigh in 

Gareth Lindahl-Wise, Chief Information Security Officer at Ontinue:

“This latest report from Bugcrowd is quite insightful, highlighting some very real tensions in the industry, specifically around the CISO role. 

“We have had a decade of ‘protect what is valuable’ and the Bugcrowd report highlights the need to move to a focus on ‘protect what will be attacked’. Crowdsourcing and the use of AI to identify real world attacks targets is a good way of organizing your limited resources for the best return.

“As noted in the report, the threat of using AI outpacing the ability to manage them is an uncomfortable truth. The reality is most governance processes can’t keep up, or don’t have the teeth to stop adoption, and there will be a necessary focus on identifying when the issues arise and responding to them.

“Burnout amongst CISOs is something I can relate to from both previous experience and in speaking with my peers. One often finds themselves at the pointy end of the ‘irresistible force’ for business growth (or sometimes survival) against a ‘potential’ risk of something happening. This brings me to another key point in the report. I wonder if the willingness of businesses to take risks does, in some part, fall to a historical failing of security professionals to be able to articulate the likelihood of the risk occurring in a grounded, relatable way. 

“I have often seen critical risks dismissed due to a lack of understanding. Depending on the organization, the CISO is a risk advisor. If the facts are delivered in a consumable way, the business may well take a decision to accept elements of the risk — if it is conscious and informed decision making, I think the CISO has done their job. 

“Well, that’s the theory — and when the corporate memory fails in the face of an incident and blames the CISO, you reinforce the short tenure and burn out.”

Mr. Agnidipta Sarkar, Vice President CISO Advisory at ColorTokens:

“The latest Bugcrowd report reveals a concerning state of cybersecurity. Only 18% of security leaders prioritize “avoiding breaches at all costs”, while more than 30% are striving for the unrealistic goal of “building a ‘security brand’ for competitive advantage”. The best brand promise that an enterprise can offer its stakeholders is that they are “Breach Ready”. Yes, AI is faster, smarter and not susceptible to fatigue and burnout. However, I am convinced that the future lies in Autonomous Cyber Defense, leveraging automation, machine learning and AI.”

George Jones, Chief Information Security Officer at Critical Start:

“The role of the CISO is evolving with today’s CISOs not only responsible for protecting organizational assets but also becoming key players in strategic business decisions. The role often integrates with other executive positions such as Chief Information Officer (CIO) and Chief Security Officer (CSO), reflecting the need for a holistic approach to both digital and physical security.

“The path to becoming a CISO is varied, with many leaders coming from different backgrounds and holding multiple roles in their careers. Offensive security experience is becoming more prevalent as it provides different insights and perspectives into potential attack vectors and defense strategies. Educational backgrounds also vary, with 82% of CISOs holding degrees in cybersecurity and 47% having over a decade of industry experience.

“The increasing responsibilities and evolving challenges faced by CISOs are leading to new challenges and require a multi-faceted approach. As security becomes a critical competitive advantage, CISOs must navigate complex threat landscapes, leverage AI, and foster a culture of security within their organizations. Aspiring CISOs should focus on gaining diverse experience and developing strong communication skills to succeed in this dynamic and essential role.”

Piyush Pandey, CEO at Pathlock:

“In addition to putting up with a C-Suite disconnect because not all leadership teams grasp the gravity of cybersecurity risks, CISOs now have to contend with personal liability and reputational repercussions due to requirements for more transparent disclosure about data breaches and cyber events. Combining these issues with pressure from day-to-day security operations without a commensurate compensation uplift would be a significant disincentive.    

“The future outlook for CISOs is heavily dependent on how organizations respond to the evolving industry challenges. If businesses prioritize security and compliance, integrate CISOs into top-level strategic planning, and provide them with adequate resources, the outlook for CISOs could significantly improve. However, if challenges like escalating threats, budget constraints and regulatory pressures aren’t met with prioritized resources, the role may become increasingly difficult, potentially leading to greater dissatisfaction.

“Boardrooms and C-Suite Executives need regular threat briefings that are collaborative rather than judgmental to bridge the knowledge gap and foster empathy for the challenges a CISO has to face. Most other roles in the C-Suite aren’t facing “bet the business” decisions on a daily basis. Organizations need to celebrate their security successes as well. There’s no shortage of phishing attacks, network intrusions and business controls violations that are caught before they have a material impact on the business. These need to be shared across the organization to heighten awareness, increase vigilance and promote cross-functional teamwork on cybersecurity.”

https://www.securitymagazine.com/articles/100822-report-suggests-organizations-sacrifice-client-privacy-to-save-money

More than 384,000 websites are linking to a site that was caught last week performing a supply-chain attack that redirected visitors to malicious sites, researchers said.

For years, the JavaScript code, hosted at polyfill[.]com, was a legitimate open source project that allowed older browsers to handle advanced functions that weren’t natively supported. By linking to cdn.polyfill[.]io, websites could ensure that devices using legacy browsers could render content in newer formats. The free service was popular among websites because all they had to do was embed the link in their sites. The code hosted on the polyfill site did the rest.

The power of supply-chain attacks

In February, China-based company Funnull acquired the domain and the GitHub account that hosted the JavaScript code. On June 25, researchers from security firm Sansec reported that code hosted on the polyfill domain had been changed to redirect users to adult- and gambling-themed websites. The code was deliberately designed to mask the redirections by performing them only at certain times of the day and only against visitors who met specific criteria.

The revelation prompted industry-wide calls to take action. Two days after the Sansec report was published, domain registrar Namecheap suspended the domain, a move that effectively prevented the malicious code from running on visitor devices. Even then, content delivery networks such as Cloudflare began automatically replacing pollyfill links with domains leading to safe mirror sites. Google blocked ads for sites embedding the Polyfill[.]io domain. The website blocker uBlock Origin added the domain to its filter list. And Andrew Betts, the original creator of Polyfill.io, urged website owners to remove links to the library immediately.

As of Tuesday, exactly one week after malicious behavior came to light, 384,773 sites continued to link to the site, according to researchers from security firm Censys. Some of the sites were associated with mainstream companies including Hulu, Mercedes-Benz, and Warner Bros. and the federal government. The findings underscore the power of supply-chain attacks, which can spread malware to thousands or millions of people simply by infecting a common source they all rely on.

“Since the domain was suspended, the supply-chain attack has been halted,” Aidan Holland, a member of the Censys Research Team, wrote in an email. “However, if the domain was to be un-suspended or transferred, it could resume its malicious behavior. My hope is that NameCheap properly locked down the domain and would prevent this from occurring.”

What’s more, the Internet scan performed by Censys found more than 1.6 million sites linking to one or more domains that were registered by the same entity that owns polyfill[.]io. At least one of the sites, bootcss[.]com, was observed in June 2023 performing malicious actions similar to those of polyfill. That domain, and three others—bootcdn[.]net, staticfile[.]net, and staticfile[.]org—were also found to have leaked a user’s authentication key for accessing a programming interface provided by Cloudflare.

Censys researchers wrote:

So far, this domain (bootcss.com) is the only one showing any signs of potential malice. The nature of the other associated endpoints remains unknown, and we avoid speculation. However, it wouldn’t be entirely unreasonable to consider the possibility that the same malicious actor responsible for the polyfill.io attack might exploit these other domains for similar activities in the future.

Of the 384,773 sites still linking to polyfill[.]com, 237,700, or almost 62 percent, were located inside Germany-based web host Hetzner.

Censys found that various mainstream sites—both in the public and private sectors—were among those linking to polyfill. They included:

• Warner Bros. (www.warnerbros.com)
• Hulu (www.hulu.com)
• Mercedes-Benz (shop.mercedes-benz.com)
• Pearson (digital-library-qa.pearson.com, digital-library-stg.pearson.com)
• ns-static-assets.s3.amazonaws.com

The amazonaws.com address was the most common domain associated with sites still linking to the polyfill site, an indication of widespread usage among users of Amazon’s S3 static website hosting.

Censys also found 182 domains ending in .gov, meaning they are affiliated with a government entity. One such domain—feedthefuture[.]gov—is affiliated with the US federal government. A breakdown of the top 50 affected sites is here.

Attempts to reach Funnull representatives for comment weren’t successful.

https://arstechnica.com/?p=2035216

A California-based credit union with over 450,000 members said it suffered a ransomware attack that is disrupting account services and could take weeks to recover from.

“The next few days—and coming weeks—may present challenges for our members, as we continue to navigate around the limited functionality we are experiencing due to this incident,” Patelco Credit Union CEO Erin Mendez told members in a July 1 message that said the security problem was caused by a ransomware attack. Online banking and several other services are unavailable, while several other services and types of transactions have limited functionality.

Patelco Credit Union was hit by the attack on June 29 and has been posting updates on this page, which says the credit union “proactively shut down some of our day-to-day banking systems to contain and remediate the issue… As a result of our proactive measures, transactions, transfers, payments, and deposits are unavailable at this time. Debit and credit cards are working with limited functionality.”

Patelco Credit Union is a nonprofit cooperative in Northern California with $9 billion in assets and 37 local branches. “Our priority is the safe and secure restoration of our banking systems,” a July 2 update said. “We continue to work alongside leading third-party cybersecurity experts in support of this effort. We have also been cooperating with regulators and law enforcement.”

“Everything’s frozen”

Patelco member Enrique Juarez said he was having trouble accessing his Social Security payment, according to the Mercury News. “I’ve never had a problem before,” Juarez told the news organization. “Everything’s frozen, I can’t even check my balance until this is resolved—and they don’t know [when that will happen].”

Patelco says that check and cash deposits should be working, but direct deposits have limited functionality.

Security expert Ahmed Banafa “said Tuesday that it looks likely that hackers infiltrated the bank’s internal databases via a phishing email and encrypted its contents, locking out the bank from its own systems,” the Mercury News reported. Banafa was paraphrased as saying that it is “likely the hackers will demand an amount of money from the credit union to restore its systems back to normal, and will continue to hold the bank’s accounts hostage until either the bank finds a way around the hack or until the hackers are paid.”

Change Healthcare, a health payment processing company hit by ransomware this year, told lawmakers that it paid a ransom of $22 million in bitcoin. Change Healthcare owner UnitedHealth failed to use multifactor authentication on critical systems.

Patelco hasn’t revealed details about how it will recover from the ransomware attack but acknowledged to customers that their personal information could be at risk. “The investigation into the nature and scope of the incident is ongoing,” the credit union said. “If the investigation determines that individuals’ information is involved as a result of this incident, we will of course notify those individuals and provide resources to help protect their information in accordance with applicable laws.”

Patelco waives fees, warns of more outages

Patelco said it is waiving overdraft, late payment, and ATM fees “until we are back up and running.” Members who need to access funds from direct deposits can do so by writing a check, using an ATM card to get cash, or by making a purchase, Patelco said.

As of yesterday, members could expect to “experience short, intermittent outages at Patelco ATMs,” the organization said. “This is normal and to be expected during our recovery process. Access to shared ATMs will not be interrupted as part of this process and they remain available for cash withdrawals and deposits.”

A chart on the security update page says the services that remain unavailable include online banking, the mobile app, outgoing wire transfers, monthly statements, Zelle, balance inquiries, and online bill payments.

Patelco branches, call center services, and live chats have “limited functionality,” as do debit card transactions, credit card transactions, and direct deposits, according to the chart. Services that are listed as available include check and cash deposits, ATM withdrawals, ACH transfers, ACH for bill payments, and in-branch loan payments.

https://arstechnica.com/?p=2035180

Lug 03, 2024 Marina Londei News, RSS, Vulnerabilità 0

---

Cisco ha risolto una vulnerabilità di command injection presente nella CLI di NX-OS, il sistema operativo della compagnia usato negli switch di rete della serie Nexus.

Tracciata come CVE-2024-20399, la vulnerabilità, causata da una validazione insufficiente degli argomenti passati ai comandi CLI, permette a un attaccante di eseguire comandi arbitrati sul sistema operativo con i privilegi di root.

A identificare per primi la vulnerabilità sono stati i ricercatori di Syginia, i quali hanno anche scoperto che il bug era un zero-day che veniva sfruttato con successo da Velvet Ant, un gruppo di attaccanti cinese. L’exploit ha portato all’esecuzione di malware finora sconosciuta che ha permesso alla gang di connettersi ai dispositivi Nexus, caricare altri payload ed eseguire codice.

Il bug è ritenuto di criticità media in quanto, come specifica Cisco, per essere sfruttato un attaccante deve avere le credenziali di amministratore; inoltre, secondo l’analisi di Syginia, la maggior parte dei Nexus Cisco non sono esposti direttamente a internet, quindi il rischio per le organizzazioni è considerato relativamente basso.

“Nonostante i notevoli prerequisiti per lo sfruttamento della vulnerabilità in questione, questo incidente dimostra la tendenza di gruppi di minacce sofisticate a sfruttare le appliance di rete – che spesso non sono sufficientemente protette e monitorate – per mantenere un accesso persistente; l’incidente sottolinea anche l’importanza critica di aderire alle best practice di sicurezza come mitigazione contro questo tipo di minaccia” evidenziano i ricercatori di Syginia, invitando le imprese a non abbassare la guardia.

Il bug colpisce la serie MDS 900 degli switch Multilayer, gli switch della serie Nexus 3000, della Nexus 6000, della Nexus 7000 e della 9000 in modalità NX-OS standalone, oltre alle piattaforme Nexus 5500 e Nexus 5600. Cisco ha rilasciato i fix per la vulnerabilità e chiede ai suoi utenti di aggiornare il prima possibile i prodotti vulnerabili. È inoltre consigliato aggiornare di frequente le credenziali degli utenti amministratori.

---

---

---

https://www.securityinfo.it/2024/07/03/cisco-risolve-una-vulnerabilita-zero-day-sfruttata-da-velvet-ant/?utm_source=rss&utm_medium=rss&utm_campaign=cisco-risolve-una-vulnerabilita-zero-day-sfruttata-da-velvet-ant

Regardless of industry, the modern business world is increasingly distributed, interconnected, service-oriented and complex. Several departments, often led by security and IT, are critical for protecting businesses’ online presence as tech evolves. While enterprises have no choice but to embrace the Internet, its infrastructure was designed a long time ago and many foundational, underpinning systems create major risk for new applications today. Despite a heavy reliance on the Internet, it is far more precarious and complex than many business leaders realize. And unfortunately, examples such as OpenAI’s major outage on June 4, 2024 demonstrate exactly how impactful that fragility can be. Amid an increasingly complex Internet Stack and soaring expectations for security and IT departments, evolving technology plays a vital role in not only reducing the burden of monitoring but proactively enhancing performance.

The impact of internet stack disruptions on enterprises

The Internet Stack is the collection of technologies, systems, and services that make possible and impact every digital user experience. This powerful term encompasses the public Internet, their points of interconnection, critical API endpoints, and everything in between. Core Internet systems like DNS, security technologies like SASE, and protocols like TCP/IP, QUIC or BGP are also critical components. With so many components in flux, it’s not a matter of if — but when — the business will face a disruption or full-blown outage, whether from bad actors in a DDoS attack or a simple configuration change gone awry. 

In fact, many business leaders take for granted that their Internet Stack will remain reliable and performant — until disaster strikes. And when that happens, the business sees negative impacts across operations, revenue and reputation. According to a recent survey of Site Reliability Engineers, 71% and 84% of SREs respond to dozens or hundreds of non-ticketed and ticketed incidents a month, respectively. A full-blown network disruption could render remote employees unable to complete work, cause customers to abandon carts while online shopping, and result in a devastating loss of customer trust and damage to brand reputation, ultimately costing an enterprise millions. In fact, a 2023 Forrester survey reported 39% of respondents estimated that their company lost up to one million dollars due to disruptions in the preceding month. For better or for worse, the pressure is on DevSecOps teams to proactively prevent and mitigate the impact of a network disruption. According to the same SRE survey, more resources likely mean more opportunity to dedicate a particular unit to incident response work. Only 3% of small organizations have this kind of dedicated initiative in place compared to one third of companies with more than 1,000 employees.

Doing more with less due to the tech talent shortage 

In parallel with these increasing pressures, the tech talent shortage presents additional hurdles for IT and security teams. According to Korn Ferry, by 2030 more than 85 million jobs could go unfilled because there aren’t enough skilled people to take them. This issue is particularly pervasive in cybersecurity, with the cybersecurity workforce shortage rising to a record high of just under 4 million in 2023. Finite talent resources, in combination with an increasingly complex digital environment, means IT leaders are being asked to do more with less, integrating teams while maintaining high performance and productivity. Thus, security and DevOps teams are more and more frequently being merged and giving rise to DevSecOps. In the face of finite resources and increased collaboration, implementing evolving tech tools into practice can be the difference between proactivity catching an issue, and spending hours resolving a disruption.

Leveraging tech tools to bridge the gap

Implementing tech tools can streamline security operations, reduce manual efforts, and relieve strain on DevSecOps teams. The tools available in this space are rapidly evolving, with advancements designed to counter Internet Stack disruptions, mitigate areas of vulnerability and reduce mean time to identify (MTTI) and mean time to resolve (MTTR). The latest advancements even extend beyond the capabilities of Application Performance Monitoring (APM) for a deeper look at Internet Performance Monitoring (IPM). Such tools enhance proactive threat identification and go beyond alerts to develop detailed, automatic, and interactive maps that simplify troubleshooting for DevSecOps. They visualize external dependencies beyond the visibility of APM. These tools can leverage real-time data and AI to automatically generate dependency maps for critical services and applications: a live check-up into application health.  

The ideal monitoring strategy for a DevSecOps team involves end to end visibility; tracking the health of networks in real-time and providing useful insights that will help optimize the application and protect the DNS Providers, CDNs, Partner/Vendor APIs, Cloud Providers, and others we rely on. With leadership supporting cross-collaboration and the adoption of new-age tech tools as part of the strategy, DevSecOps teams can monitor what matters, from where it matters, continuously improving cybersecurity and IT strategy to reduce the risk of any negative impact on end-user experience and business outcomes. Additionally, with talent so tight, companies must consider using the latest tech for teams to approach monitoring from a proactive angle and empower new team members to navigate issues regardless of years of training. The Internet is complex, but by keeping up with tech, businesses can ensure their operations run smoothly. 

https://www.securitymagazine.com/articles/100826-navigating-internet-complexity-leveraging-tech-for-business-security

ASIS International has announced the appointment of a new CEO, William “Bill” Tenney. With nearly 35 years of experience in both public and private sectors, Tenney will lead the organization by collaborating with members, partners and stakeholders to advance the mission of ASIS International. 

In previous roles, Tenney has served as Director of Global Security for Target Corporation, Head of Global Operations Risk for Bloomberg and Chief Security Officer and Senior Vice President, Global Corporate Security for MetLife. Tenney also has national security experience as well as a prior role as a U.S. Naval Officer.

Tenney will serve as the eighth executive to lead ASIS International. 

https://www.securitymagazine.com/articles/100821-asis-international-appoints-a-new-ceo-effective-july

Sono stati finalmente chiariti dal Garante per la protezione dei dati personali molti dei dubbi interpretativi sulla conservazione dei metadati relativi alle comunicazioni di posta elettronica dei dipendenti. In proposito, sia permesso rimandare all’articolo di commento alla precedente versione del provvedimento: “Metadati delle email dei dipendenti: il punto sul provvedimento del Garante sottoposto a consultazione pubblica”.

Il nuovo testo del documento, ampiamente aggiornato a seguito appunto di consultazione pubblica e datato 6 giugno 2024 [10026277] (ma reso disponibile a partire dal 17 giugno), era particolarmente atteso da aziende e consulenti, considerate le difficoltà inizialmente emerse, prime fra tutte la prescrizione di un tempo brevissimo di conservazione dei metadati (7 giorni) e un raggio applicativo incerto. In merito a entrambe le criticità, il provvedimento recente offre indicazioni nettamente migliorative.

Esaminiamone dunque i principali passaggi di rilievo, raggruppandoli in quattro sezioni.

Tempo di conservazione esteso a 21 giorni

L’elemento più lampante del nuovo testo è certamente rappresentato dall’estensione del termine (massimo) di conservazione dei metadati da 7 a 21 giorni. Il nuovo termine, se concede maggiore respiro ai titolari del trattamento, continua tuttavia a non soddisfare le esigenze di motivazione dei provvedimenti dell’Authority.

In effetti, non viene offerta alcuna spiegazione per una determinazione numerica tanto esatta. Ciò, a parere di chi scrive, determina due ordini di difficoltà. La prima è che in tal modo il Garante si sostituisce al titolare del trattamento nella determinazione dei tempi di conservazione, occupando una competenza e un onere che sono del secondo, ai sensi dell’art. 5 GDPR, cosiddetto principio di accountability del titolare.

L’altra è che i titolari del trattamento vengono in tal modo disincentivati a farsi carico della concreta attuazione di tale principio, non disponendo neppure di un percorso motivazionale che permetta loro un’applicazione ragionata e un adattamento in base al contesto.

Vero che l’Autorità smussa alquanto la formulazione categorica, parlando di un termine “a titolo orientativo”, è tuttavia chiaro, dalla complessiva esposizione, che chi vorrà avventurarsi oltre tale termine dovrà vincere una notevole presunzione contraria istituzionale.

In definitiva, 21 giorni sono un periodo secco, che pone una regola e ammette difficili eccezioni.

Effettivo campo di applicazione del provvedimento

I metadati esaminati dal documento di indirizzo sono solo quelli che “corrispondono tecnicamente alle informazioni registrate nei log generati dai sistemi server di gestione e smistamento della posta elettronica (MTA = Mail Transport Agent) e dalle postazioni nell’interazione che avviene tra i diversi server interagenti e, se del caso, tra questi e i client”.

Dunque, diversamente dalla prima stesura, quella aggiornata, che esplode alcune indicazioni già contenute nell’atto di avvio della consultazione pubblica, circoscrive notevolmente il campo applicativo. L’Authority anzi chiarisce, a scanso di equivoci, che il termine di conservazione di 21 giorni non si applica alle comunicazioni di posta elettronica presenti nella casella dei dipendenti. Sono cioè escluse dall’area applicativa “le informazioni contenute nei messaggi di posta elettronica nella loro “body-part” (corpo del messaggio) o anche in essi integrate – ancorché talvolta non immediatamente visibili agli utenti dei software “client” di posta elettronica (i cosiddetti MUA – Mail User Agent) – a formare il cosiddetto envelope, ovvero l’insieme delle intestazioni tecniche strutturate che documentano l’instradamento del messaggio, la sua provenienza e altri parametri tecnici”.

È appena il caso di notare che nel provvedimento iniziale si parlava proprio invece di applicabilità ai “metadati relativi all’utilizzo degli account di posta elettronica in uso ai dipendenti”, dicitura ambigua che peraltro permane tuttora, ma nel solo apparato delle premesse. Questo spostamento del fuoco dai metadati di utilizzo degli account a quelli tecnici generati nelle operazioni di smistamento tra server e server e tra server e client è certamente un bene, perché evita situazioni insostenibili per le aziende.

Giova tuttavia avvertire che, al netto della prescrizione del termine massimo di conservazione di 21 giorni per i soli metadati generati dai sistemi di smistamento e gestione della posta elettronica, non bisogna cadere nell’equivoco di considerare anche il resto del documento come limitato nello scopo.

In verità, il provvedimento del Garante ha vocazione generale, poiché chiarisce la posizione dell’Autorità rispetto a qualsivoglia strumento lavorativo, pur lecito, da cui possa derivare indirettamente controllo a distanza dei dipendenti attraverso un trattamento di dati personali. Le implicazioni sono cioè molto più ampie di quanto una lettura affrettata potrebbe portare a credere.

C’è in particolare un passaggio che vale la pena mettere in evidenza: la costruzione, da parte dell’Autorità, di una presunzione di controllo indiretto del dipendente al decorrere di una certa durata di conservazione delle informazioni di log (e applicabile, giuridicamente, a qualsiasi log). Tale assunto costituisce un punto fermo nella posizione del Garante, ma non altrettanto fermo in caso di evoluzione in contenzioso giudiziale. Insomma, si può contestare. L’opinabilità risiede, a parere di chi scrive, nella natura assiomatica della formulazione, priva di apparati esplicativi convincenti.

Vero che l’esaurirsi della finalità di trattamento, nella specie la finalità di corretto funzionamento dei sistemi di smistamento della posta elettronica, fa venire meno un presupposto di liceità del trattamento, tuttavia è controvertibile che ciò solo trasformi ipso facto il trattamento in una forma di controllo indiretto del lavoratore. Detto altrimenti: la posizione dell’Authority è certamente rispettabile ed è un bene che sia espressa con molta chiarezza, tuttavia si presta, soprattutto per l’asciuttezza con cui è formulata, a essere contrastata con successo.

Sempre in tema di vocazione generale del provvedimento, va apprezzata la tessitura dei rapporti giuridici, in esso ben sviluppata, che esistono tra l’articolo 4 dello Statuto dei lavoratori (legge 300/70), il Codice privacy (d.lgs. 196/03) e, a monte, il GDPR (reg. UE 2016/679), anche in termini di sanzioni applicabili e di responsabilità. Il Garante dunque fornisce utili strumenti concettuali, preziosi per le valutazioni del titolare del trattamento in una serie di contesti diversi, anche per esempio in materia di videosorveglianza dei lavoratori, non solo quindi di metadati della posta elettronica.

Valore giuridico dei documenti di indirizzo

Nel provvedimento del 6 giugno 2024, qui esaminato, sono numerosi i passaggi nei quali è ribadita la natura di mera interpretazione di tale tipologia di provvedimento. È importante perché la prima versione del dicembre 2023 recava, almeno nella percezione dello scrivente, ampia ambiguità, tendendo verso un “provvedimento generale”, nello spirito cioè di quelli che in epoca pre-GDPR il Garante emanava, ossia uno strumento contenente elementi di normazione secondaria.

Insomma, il punto è: con il provvedimento d’indirizzo il Garante scrive nuove regole o si limita a chiarire e sistematizzare quelle già esistenti? Ecco, il tema ha interesse più ampio rispetto al caso che ci occupa, perché l’Authority realizza documenti di indirizzo in svariate materie.

Vale la natura di mero chiarimento e sistematizzazione, come si è detto: il valore meramente interpretativo del testo si trova opportunamente ribadito in più punti della versione aggiornata. Resta tuttavia l’oggettiva considerazione che la determinazione di un termine di conservazione di 21 giorni, sia pure “a titolo orientativo” si palesa a tutti gli effetti come l’introduzione di una regola generale nuova e non come l’interpretazione di una disciplina esistente. Un termine così netto, pur con la “sfocatura” introdotta, tende a stridere con affermazioni, contenute nel documento d’indirizzo, secondo le quali esso “non reca prescrizioni né introduce nuovi adempimenti a carico dei titolari del trattamento”, e che, “stante la natura orientativa del documento di indirizzo, dallo stesso non discendono nuovi adempimenti o responsabilità”.

Proprio l’osservazione tuttavia che la “soglia 21” è indicata in un contesto che non permette l’introduzione di nuove regole può, allo stesso tempo, supportare adeguate linee di difesa per il titolare del trattamento che tale soglia non abbia inteso in termini precettivi.

Il capitolo fornitori

Da ultimo, vale la pena notare che i fornitori dei sistemi di gestione della posta elettronica continuano a essere i grandi assenti dal raggio applicativo del provvedimento. Certo, rispetto alla versione iniziale, il nuovo documento d’indirizzo dedica maggiore spazio agli obblighi di costoro, ma senza porli mai veramente al centro dell’attenzione istituzionale. La sensazione è quella che si resti al livello di quello che gli anglosassoni chiamano “lip service”. Eppure, sono proprio i grandi fornitori parte essenziale del problema e di conseguenza parte essenziale della soluzione. La moltitudine frammentata dei titolari del trattamento che fruisce dei loro servizi spesso può davvero poco, come peraltro emerge tra le righe nello stesso provvedimento del Garante.

In definitiva, chi mette in circolazione sistemi che hanno rilevanza in materia di trattamento dei dati personali, si pensi ai grandi sistemi in cloud, ha il dovere di assicurarne la conformità al GDPR, tuttavia questo passaggio trova collocazione periferica nel documento d’indirizzo.

Conclusioni

L’apertura di una consultazione pubblica e le sostanziali modifiche al documento originario appaiono assai apprezzabili, perché rivelano il profilo di un’Autorità capace di tornare sui propri passi e di migliorare sensibilmente, attraverso un approccio condiviso, il contenuto dei provvedimenti. Il documento d’indirizzo, che sia oppure no condivisibile in toto, presenta certamente passaggi di notevole interesse giuridico, che vanno oltre il campo applicativo immediato. Quest’ultimo inoltre risulta chiarito finalmente con precisione, il che permetterà, prevedibilmente, una riduzione di adempimenti per i titolari del trattamento e altresì del contenzioso. Unica sbavatura, ad avviso di chi scrive, resta la tendenza a prevedere d’ufficio termini di conservazione dei dati personali che spettano unicamente al titolare del trattamento (ciò segna una tendenza sistematica sulla quale è auspicabile una rimeditazione) e la riluttanza a rivolgere primaria attenzione ai grandi fornitori. Soprattutto quest’ultimo aspetto non lascia prevedere il raggiungimento di una soluzione reale in tempi brevi, perché le leve negoziali dei titolari per imporre modifiche di progettazione dei software sono qui debolissime. Resta anche la generale sensazione, nel mercato quanto negli interpreti, che il provvedimento riveli un’eccessiva concentrazione su un argomento interessante ma marginale, che rischia di distrarre energie da tematiche ben più gravi e pressanti.

Articolo a cura di Enrico Pelino

https://www.ictsecuritymagazine.com/articoli/privacy-e-metadati-di-posta-elettronica-dei-dipendenti-le-principali-novita/

Researchers have warned of a critical vulnerability affecting the OpenSSH networking utility that can be exploited to give attackers complete control of Linux and Unix servers with no authentication required.

The vulnerability, tracked as CVE-2024-6387, allows unauthenticated remote code execution with root system rights on Linux systems that are based on glibc, an open source implementation of the C standard library. The vulnerability is the result of a code regression introduced in 2020 that reintroduced CVE-2006-5051, a vulnerability that was fixed in 2006. With thousands, if not millions, of vulnerable servers populating the Internet, this latest vulnerability could pose a significant risk.

Complete system takeover

“This vulnerability, if exploited, could lead to full system compromise where an attacker can execute arbitrary code with the highest privileges, resulting in a complete system takeover, installation of malware, data manipulation, and the creation of backdoors for persistent access,” wrote Bharat Jogi, the senior director of threat research at Qualys, the security firm that discovered it. “It could facilitate network propagation, allowing attackers to use a compromised system as a foothold to traverse and exploit other vulnerable systems within the organization.”

The risk is in part driven by the central role OpenSSH plays in virtually every internal network connected to the Internet. It provides a channel for administrators to connect to protected devices remotely or from one device to another inside the network. The ability for OpenSSH to support multiple strong encryption protocols, its integration into virtually all modern operating systems, and its location at the very perimeter of networks further drive its popularity.

Besides the ubiquity of vulnerable servers populating the Internet, CVE-2024-6387 also provides a potent means for executing malicious code stems with the highest privileges, with no authentication required. The flaw stems from faulty management of the signal handler, a component in glibc for responding to potentially serious events such as division-by-zero attempts. When a client device initiates a connection but doesn’t successfully authenticate itself within an allotted time (120 seconds by default), vulnerable OpenSSH systems call what’s known as a SIGALRM handler asynchronously. The flaw resides in sshd, the main OpenSSH engine. Qualys has named the vulnerability regreSSHion.

The severity of the threat posed by exploitation is significant, but various factors are likely to prevent it from being mass exploited, security experts said. For one, the attack can take as long as eight hours to complete and require as many as 10,000 authentication steps, Stan Kaminsky, a researcher at security firm Kaspersky, said. The delay results from a defense known as address space layout randomization, which changes the memory addresses where executable code is stored to thwart attempts to run malicious payloads.

Other limitations apply. Attackers must also know the specific OS running on each targeted server. So far, no one has found a way to exploit 64-bit systems since the number of available memory addresses is exponentially higher than those available for 32-bit systems. Further mitigating the chances of success, denial-of-service attacks that limit the number of connection requests coming into a vulnerable system will prevent exploitation attempts from succeeding.

All of those limitations will likely prevent CVE-2024-6387 from being mass exploited, researchers said, but there’s still the risk of targeted attacks that pepper a specific network of interest with authentication attempts over a matter of days until allowing code execution. To cover their tracks, attackers could spread requests through a large number of IP addresses in a fashion similar to password-spraying attacks. In this way, attackers could target a handful of vulnerable networks until one or more of the attempts succeeded.

The vulnerability affects the following:

• OpenSSH versions earlier than 4.4p1 are vulnerable to this signal handler race condition unless they are patched for CVE-2006-5051 and CVE-2008-4109.

• Versions from 4.4p1 up to, but not including, 8.5p1 are not vulnerable due to a transformative patch for CVE-2006-5051, which made a previously unsafe function secure.

• The vulnerability resurfaces in versions from 8.5p1 up to, but not including, 9.8p1 due to the accidental removal of a critical component in a function.

Anyone running a vulnerable version should update as soon as practicable.

https://arstechnica.com/?p=2035011