Lug 17, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS 0

---

Anche i cybercriminali stanno sfruttando la potenza dell’IA generativa per sviluppare tool e tattiche sempre più sofisticati. L’ultima dimostrazione di questa tendenza è WormGPT, uno strumento di IA generativa in grado di automatizzare l’esecuzione di attacchi BEC (Business Email Compromise).

Individuato dai ricercatori di SlashNext, il tool è stato creato come alternativa ai modelli GPT, pensato per supportare le attività criminali.

WormGPT è stato addestrato su dati relativi a malware e attacchi di vario genere per comporre email di phishing convincenti e senza errori. In un esempio riportato sul blog di SlashNext, i ricercatori hanno chiesto al di scrivere un’email da usare in un attacco BEC; il testo, hanno specificato i ricercatori, doveva essere diretto a un account manager da parte del CEO aziendale, e la richiesta era di pagare una fattura urgente.

Il testo generato dal tool è molto formale (fin troppo in alcuni passaggi), e viene sottolineata più volte l’urgenza del pagamento per spingere la vittima a procedere con l’operazione. La mail non presenta errori ortografici o grammaticali e potrebbe effettivamente trarre in inganno le persone meno attente.

WormGPT è molto simile a ChatGPT in termini di abilità, con la differenza che non ha limitazioni etiche ed è stato addestrato su dataset specifici. La grammatica impeccabile e la capacità di generare un testo allineato agli obiettivi degli attaccanti fa del tool un’arma molto pericolosa.

L’esperimento condiviso da SlashNext sottolinea l’importanza di rafforzare le proprie linee di difesa, puntando soprattutto su del training specifico per proteggersi dagli attacchi BEC e introducendo dei processi più stringenti per la verifica delle email.

WormGPT è solo l’ultimo degli strumenti di IA realizzati per facilitare l’esecuzione dei cyberattacchi e agire su larga scala. La capacità dell’intelligenza artificiale non solo permettono di sferrare attacchi più efficaci, ma aprono anche le porte della criminalità a persone meno esperte e con poche conoscenze tecniche, democratizzando il cybercrimine.

---

---

---

https://www.securityinfo.it/2023/07/17/wormgpt-il-chatgpt-dei-criminali-per-gli-attacchi-di-phishing/?utm_source=rss&utm_medium=rss&utm_campaign=wormgpt-il-chatgpt-dei-criminali-per-gli-attacchi-di-phishing

Lug 14, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, Hacking, In evidenza, Minacce, RSS, Vulnerabilità 0

---

Blindingcan, un trojan nordcoreano, continua a tormentare l’Italia: a dirlo sono i risultati del Global Threat Index di Check Point per il mese di giugno.

L’indagine ha confermato che è Qbot il malware più diffuso del primo semestre dell’anno, affermatosi in cima alla classifica per ben 5 mesi su 6. Conosciuto anche come Qakbot, il trojan è apparso per la prima volta nel 2008 come malware bancario e, nel corso degli anni, è stato arricchito con funzionalità per sottrarre password, email e carte di credito.

La diffusione del trojan avviene per lo più tramite messaggi di spam con metodi anti-VM, anti-debug e anti-sandbox per aggirare i rilevamenti dei tool di sicurezza. Oggi il suo scopo principale è agire da loader per altri malware e ottenere la persistenza nei sistemi presi di mira, aprendo la strada ai ransomware.

Blindingcan predilige l’Italia

Anche in Italia la minaccia principale di giugno è stata Qbot, mentre al secondo posto troviamo Blindingcan, un nuovo trojan ad accesso remoto di origine nord coreana. Sorprende l’impatto notevolmente più elevato del trojan nel Paese rispetto alla media mondiale: se nel resto del mondo si è rilevata un’incidenza dello 0,22%, in Italia questo valore arriva al 5,25%.

Il trojan è opera del gruppo Lazarus Group della Corea del Nord ed è considerato molto pericoloso per via di diverse funzioni che gli permettono di manipolare file e processi e di auto-aggiornarsi. Non è la prima volta che Blindingcan spopola in Italia: anche a febbraio scorso e negli ultimi mesi del 2022 il trojan aveva avuto impatti molto più importanti nel nostro Paese rispetto al resto del mondo.

A livello mondiale, l’infostealer Formbook detiene il secondo posto come malware più diffuso, con un’incidenza del 3,52% (3,10% in Italia). A seguire sul podio troviamo Emotet, un trojan modulare in grado di autopropagarsi: l’impatto mondiale è stato del 2,65% (3,04% in Italia).

I ransomware continuano a far tremare il mondo

I ransomware rimangono una delle minacce più significative del 2023. Le vulnerabilità presenti in MOVEit Transfer e MOVEit Cloud rese note a maggio hanno permesso al gruppo russo Cl0p di lanciare un attacco supply chain contro gli utenti del software.

Nonostante Progress Software, l’azienda proprietaria del prodotto, abbia rilasciato una patch entro 48 ore dalla scoperta della vulnerabilità, il gruppo è riuscito a colpire centinata di vittime, comprese sette università statunitensi, sottraendo centinaia di migliaia di record di informazioni.

“L’exploit di MOVEit dimostra come il 2023 sia già un anno significativo nella storia del ransomware. Gruppi di spicco come Clop non agiscono tatticamente per infettare un singolo obiettivo, ma aumentano l’efficienza delle loro azioni sfruttando software ampiamente diffusi all’interno degli ambienti aziendali. Questo approccio permette loro di colpire centinaia di vittime con un solo attacco” ha affermato Maya Horowitz, VP Research di Check Point Software. “Questo schema di attacco evidenzia l’importanza per le aziende di implementare una strategia di cybersicurezza stratificata e di prioritizzare la rapida applicazione delle patch non appena vengono annunciate delle vulnerabilità”.

---

---

---

https://www.securityinfo.it/2023/07/14/blindingcan-il-trojan-nordcoreano-prende-di-mira-litalia/?utm_source=rss&utm_medium=rss&utm_campaign=blindingcan-il-trojan-nordcoreano-prende-di-mira-litalia

Lug 13, 2023 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

I FortiGuard Labs di Fortinet hanno reso nota una vulnerabilità di livello critico che colpisce FortiOS e FortiProxy. Identificato come CVE-2023-33308, il bug permette a un attaccante di eseguire codice arbitrario e comandi, prendendo il controllo del sistema target.

La vulnerabilità è di tipo stack-based buffer overflow che permette la scrittura oltre i limiti previsti per la struttura dati, consentendo l’esecuzione di codice dannoso.

Le versioni colpite dal bug sono quelle dalla 7.2.0 alla 7.2.3 e dalla 7.0.0 alla 7.0.10 di FortiOS, e le versioni dalla 7.2.0 alla 7.2.2 e dalla 7.0.0 alla 7.0.9 di FortiProxy. Fortinet ha specificato invece che le versioni 6.4, 6.2 e 6.0 di FortiOS, e le versioni 2.x e 1.x di FortiProxy non soffrono di questa vulnerabilità.

L’azienda ha già rilasciato l’aggiornamento di sicurezza e invita gli amministratori di sistema ad aggiornare FortiOS alle versioni 7.4.0, 7.2.4 o 7.0.11 e superiori, e ad aggiornare FortiProxy alle versione 7.2.3 o 7.0.10 e superiori.

Nel caso in cui non fosse possibile applicare l’update di sicurezza, FortiNet consiglia di disabilitare il supporto HTTP/2 sui profili di SSL inspection usati dalle policy del proxy e del firewall in modalità proxy.

La notizia arriva poco dopo l’annuncio di BishopFox dell’esistenza di più di 330.000 firewall FortiGate vulnerabili a un bug già risolto da Fortinet lo scorso giugno. In questo caso la vulnerabilità, la CVE-2023-27997, è un heap-based buffer overflow che, analogamente alla nuova 33308, consente l’esecuzione di codice malevolo sulla macchina target.

Fortinet ha affermato di star monitorando la situazione e ha rinnovato il suo invito ad aggiornare i dispositivi, vista la criticità del bug.

“Fortinet continua a monitorare la situazione e ha comunicato in modo proattivo ai clienti, invitandoli a seguire immediatamente le indicazioni fornite per mitigare la vulnerabilità utilizzando i workaround forniti o aggiornando. A seguito di ciò, abbiamo condiviso ulteriori dettagli e chiarimenti per aiutare i nostri clienti a prendere decisioni informate e basate sul rischio in merito a CVE-2022-27997 in questo blog. Per ulteriori informazioni, consultare il blog e l’advisory“.

---

---

---

https://www.securityinfo.it/2023/07/13/una-nuova-vulnerabilita-critica-colpisce-i-prodotti-fortinet/?utm_source=rss&utm_medium=rss&utm_campaign=una-nuova-vulnerabilita-critica-colpisce-i-prodotti-fortinet

Lug 12, 2023 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Apple ha ritirato la patch di sicurezza rilasciata qualche giorno fa per un bug zero-day di Webkit, il motore di rendering per Safari: l’aggiornamento ha creato problemi di navigazione col browser su diversi siti web.

Il fix riguardava la vulnerabilità identificata come CVE-2023-37450 che, ha spiegato l’azienda, permetteva l’esecuzione di codice arbitrario. Apple ha affermato che il bug potrebbe già essere stato usato dagli attaccanti.

Il bug era stato individuato da un ricercatore rimasto anonimo e l’azienda aveva provveduto a rilasciare un fix il 10 luglio. L’aggiornamento però ha avuto un effetto collaterale: molte pagine web ora non vengono visualizzate correttamente.

Non ci è voluto molto per capire che il problema è causato proprio dall’update, il quale impedisce a siti web e servizi online di identificare la versione di Safari in uso come valida, mostrando il messaggio d’errore “Browser non supportato”.

Ieri Apple ha pubblicato un breve report dove ha confermato di essere a conoscenza del problema e ha invitato gli utenti a rimuovere l’ultimo aggiornamento, se installato. Su iPhone e iPad è sufficiente navigare in Impostazioni > Informazioni > Versione iOS e selezionare “Rimuovi Security Response”; su Mac bisogna invece navigare sull’icona del menù Apple e poi cliccare su “Informazioni su questo Mac”, e successivamente su “Ulteriori informazioni”. Sotto “macOS” occorre cliccare sull’icona informativa vicino al numero di versione e selezionare “Rimuovi e riavvia”.

L’aggiornamento era per le versioni iOS 16.5.1, iPadOS 16.5.1 e macOS 13.4.1; se avete queste versioni installate e avete scaricato l’ultimo aggiornamento, dovete disinstallarlo e attendere i prossimi aggiornamenti da Apple.

L’azienda non ha ancora condiviso i dettagli tecnici del malfunzionamento.

---

---

---

https://www.securityinfo.it/2023/07/12/apple-ritira-la-patch-per-webkit-lupdate-rompe-safari/?utm_source=rss&utm_medium=rss&utm_campaign=apple-ritira-la-patch-per-webkit-lupdate-rompe-safari

Lug 10, 2023 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Stanno alle ultime notizie, Revolut, società finanziaria che fornisce servizi, pagamento e conti online, è stata colpita da un pesante attacco hacker che ha sottratto oltre 20 milioni di dollari all’azienda.

La notizia è stata riportata dal Financial Times, il quale cita diverse fonti ancora ignote. Revolut non ha ancora reso pubblica la notizia.

Non ci sono dettagli tecnici sull’accaduto, ma sembra che il problema risieda in alcune discrepanze tra il funzionamento del sistema americano dei pagamenti e quello europeo; nel dettaglio, quando le transazioni venivano rifiutate i fondi venivano rimborsati usando i soldi dell’azienda.

Sembra inoltre che il problema esistesse dal 2021 e non sia mai stato risolto. Gli attaccanti, ancora non identificati, avrebbero spinto gli utenti Revolut a effettuare acquisti molto costosi, sapendo che sarebbero stati rimborsati; i rimborsi, poi, sono stati prelevati direttamente dagli ATM.

La truffa su vasta scala avrebbe sottratto circa 23 milioni di dollari alla società, con una perdita netta di circa 2o milioni. A giudicare dalla natura dell’attacco, i dati personali degli utenti non dovrebbero essere a rischio, ma per esserne sicuri bisognerà aspettare ulteriori aggiornamenti.

Revolut

Nata nel 2015, Revolut è una società di tecnologia finanziaria che offre servizi bancari online. Tramite l’app mobile è possibile effettuare spese e prelievi bancomat in 120 valute e invio in 29 valute. Negli ultimi anni l’applicazione ha fornito ai clienti l’accesso a Bitcoin, Ethereum, Litecoin, Bitcoin Cash e Ripple.

---

---

---

https://www.securityinfo.it/2023/07/10/attacco-a-revolut-rubati-20-milioni-di-dollari/?utm_source=rss&utm_medium=rss&utm_campaign=attacco-a-revolut-rubati-20-milioni-di-dollari

Lug 07, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

NoName057(16), gruppo hacker vicino al governo russo, ha sviluppato una nuova versione di DDoSia, tool usato per sferrare attacchi DDoS principalmente contro target in Europa; a scoprirlo sono stati i ricercatori di Sekoia che, lo scorso aprile, hanno individuato e analizzato una nuova versione del toolkit.

Il gruppo hacker è molto attivo su Telegram, col canale principale che conta più di 45.000 iscritti e quello dedicato a DDoSia con più di 10.000 utenti. Il toolkit è apparso per la prima volta all’inizio del 2022, quando il gruppo ha cominciato a colpire organizzazioni e istituzioni in Ucraina e altri paesi dell’area europea, compresa l’Italia.

DDoSia, inizialmente scritto in Python, usa i thread della CPU per lanciare più richieste di rete contemporaneamente. Il toolkit sfrutta inoltre il protocollo HTTP per la comunicazione col server di Command & Control per ricevere la lista di obiettivi, ed è disponibile per diversi sistemi operativi. 

La nuova versione, pubblicata lo scorso 19 aprile sui gruppi Telegram di NoName057(16), è scritta in Go e, pur mantenendo il funzionamento base, offre un meccanismo di sicurezza aggiuntivo per nascondere la lista dei target trasmessa dal server C2.

Visto che il gruppo sta attivamente migliorando il toolkit, è molto probabile che l’obiettivo sia renderlo disponibile a quanti più utenti possibili per colpire più target.

Un altro indizio della volontà del gruppo è la semplicità con cui gli iscritti ai canali possono scaricare il toolkit: l’intero processo è automatizzato con i bot Telegram e DDoSia viene fornito come un semplice eseguibile già configurato.

Stando all’analisi di Sekoia, i paesi più colpiti dal toolkit nel periodo 8 maggio – 26 giugno sono stati Lituania, Ucraina e Polonia; a seguire l’Italia, la Repubblica Ceca e la Danimarca. I due siti più colpiti del periodo, in media il doppio rispetto agli altri, sono entrambi ucraini ed entrambi sono legati a istituzioni nell’ambito educativo.

Secondo Sekoia, il gruppo ha deciso di colpire risorse legate all’educazione durante il periodo degli esami per massimizzare la copertura mediatica dei propri attacchi.

---

---

---

https://www.securityinfo.it/2023/07/07/noname05716-migliora-ddosia-con-un-nuovo-meccanismo-di-sicurezza/?utm_source=rss&utm_medium=rss&utm_campaign=noname05716-migliora-ddosia-con-un-nuovo-meccanismo-di-sicurezza

Lug 06, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, Phishing, RSS 0

---

Gli attacchi tramite email aumentano vertiginosamente: solo nel primo semestre del 2023 il phishing via email è incrementato del 464% rispetto al 2022; a dirlo è il report di metà anno di Acronis sulle minacce digitali più diffuse.

L’indagine ha analizzato più di 1.000.000 di endpoint in tutto il mondo e ha evidenziato un generale aumento delle minacce e della loro gravità. 

Le email, in particolare quelle di account business, sono tra i vettori iniziali d’attacco più diffusi: nel primo trimestre del 2023 il 30,3% di tutto le email ricevute erano spam; di queste, l’1,3% conteneva malware o link di phishing. Il phishing si è confermato la forma più diffusa di furto di credenziali, costituendo il 73% degli attacchi; a seguire ci sono gli attacchi di compromissione delle email aziendali che rappresentano il 15% del totale.

Non solo phishing: i ransomware preoccupano le PMI

I ransomware rimangono il rischio principale per le aziende, soprattutto le piccole e medie imprese. Anche se il numero di varianti sta calando, la gravità degli attacchi rimane ancora molto alta.

Nel primo trimestre 2023 sono stati resi pubblici 809 casi di ransomware, ovvero una media di 270 casi al mese; a marzo si è verificato un picco del numero di incidenti ransomware che ha superato la media del 62%.

Guardando ai gruppi dietro i ransomware, LockBit è il responsabile della maggior parte delle violazioni di dati. Anche Clop ha aumentato la propria attività; tra gli attacchi più distruttivi Acronis segnala quello ai danni di una rete di fornitori di servizi per la salute mentale che ha portato al furto di dati personali di più di 780.000 persone.

BlackCat è riuscito a infiltrarsi nei sistemi di un produttore indiano ottenendo più di 2TB di dati militari segreti, mentre Vice Society ha compromesso migliaia di server e informazioni personali di studenti, staff amministrativo e accademico dell’Università tedesca Duisburg-Essen.

Malware sempre più pericolosi

I malware si stanno evolvendo, diventando sempre più sofisticati, e i gruppi hacker stanno usando l’intelligenza artificiale per sferrare attacchi più efficaci. Il monitoraggio di Acronis ha confermato che i malware sono diventati più complessi e difficili da rivelare, in grado di sfuggire ai tradizionali antivirus.

In media, ogni esemplare di malware circola per 2,1 giorni prima di sparire e la maggior parte di essi (73%) è stato osservato solo una volta negli endpoint analizzati.

I criminali informatici stanno sfruttando i grandi modelli linguistici non solo per creare malware più pericolosi, ma anche per aumentare in maniera esponenziale il numero di attacchi avvalendosi delle capacità di automazione dell’IA.

“Nel 2023, il volume delle minacce ha registrato un picco rispetto all’anno precedente, un segnale che indica la proliferazione del crimine informatico e l’accresciuta abilità degli hacker di compromettere i sistemi e sferrare gli attacchi” ha affermato Candid Wüest, Vicepresidente Research di Acronis.

L’azienda ha ribadito la necessità di usare misure di protezione proattive e soluzioni in grado di agire su più livelli, combinando in una solo risorsa funzionalità anti-malware, EDR, DLP, protezione per le email, gestione delle patch e backup, ma anche capacità di intelligenza artificiale per contenere i rischi dei ransomware e del furto di dati

---

---

---

https://www.securityinfo.it/2023/07/06/il-phishing-via-email-e-aumentato-del-464-il-report-di-acronis/?utm_source=rss&utm_medium=rss&utm_campaign=il-phishing-via-email-e-aumentato-del-464-il-report-di-acronis

Lug 05, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Check Point Research hanno individuato una campagna a opera di un gruppo di hacker cinesi che ha preso di mira diverse istituzioni politiche europee, specialmente dell’Est. La campagna, chiamata SmugX dai ricercatori, è attiva da dicembre 2022 e sfrutta l’HTML smuggling per eludere i controlli dei tool di sicurezza e installare PlugX, un trojan per l’accesso remoto e il controllo delle macchine target.

La tecnica dell’HTML Smuggling consente agli attaccanti di integrare file malevoli in documenti HTML e superare i controlli di sicurezza. I documenti usati nella campagna SmugX erano tutti riferiti a diplomatici ed entità governative in Ungheria, Slovacchia, Ucraina, ma anche Regno Unito, Francia e Svezia.

La catena di attacco di SmugX comincia con il download di un file JavaScript o ZIP; aprendo questi file parte il download di un payload cifrato relativo a PlugX. Una volta installato, il malware consente agli attaccanti di eseguire diverse attività sul sistema compromesso, incluso il furto di file, il logging delle sequenze di tasti, l’esecuzione di comandi e la cattura dello schermo.

I ricercatori hanno individuato inoltre uno script usato per eliminare ogni traccia della presenza del malware sul dispositivo colpito; ciò, spiega Check Point, indica che gli attaccanti sapevano di essere sotto osservazione.

Secondo Check Point, la campagna è una continuazione diretta di altre campagne precedenti attribuite ai gruppi RedDelta e Mustang Panda. Tra le similarità principali c’è il riferimento a un server di Command&Control che a sua volta punta a un indirizzo IP legato all’attività di Red Delta; inoltre, alcuni dei path usati per eseguire PlugX sono comuni alle campagne degli altri due attori.

Anche la natura delle vittime è un chiaro indicatore della vicinanza tra i gruppi; al momento, però, non ci sono abbastanza prove per attribuire con certezza i nuovi attacchi a uno o all’altro gruppo.

---

---

---

https://www.securityinfo.it/2023/07/05/hacker-cinesi-sfruttano-html-smuggling-per-colpire-le-istituzioni-europee/?utm_source=rss&utm_medium=rss&utm_campaign=hacker-cinesi-sfruttano-html-smuggling-per-colpire-le-istituzioni-europee

Lug 04, 2023 Marina Londei Apt, Attacchi, In evidenza, Intrusione, Minacce, News, RSS 0

---

I ricercatori di Deep Instinct hanno individuato un nuovo framework di Command & Control (C2) a opera del gruppo APT MuddyWater. Conosciuto anche come Mango Sandstorm o Mercury, il gruppo si occupa di cyber spionaggio ed è legato al Ministero dell’Intelligence e della Sicurezza iraniano.

Il framework, chiamato PhonyC2, è in uso dal 2021 ed è stato utilizzato nel recente attacco contro il Technion Institute, un istituto di ricerca israeliano.

Lo scorso aprile i ricercatori della firma di sicurezza hanno individuato tre script PowerShell malevoli, parte di un archivio chiamato PhonyC2_v6.zip. Il team di Deep Instinct ha analizzato il contenuto del file e il codice sorgente del framework, scoprendo che il server che ospitava il C2 era legato all’infrastruttura usata da MuddyWater nell’attacco contro Technion Insitute. 

Ulteriori ricerche hanno dimostrato che questo nuovo framework era collegato anche alla campagna che sfrutta la vulnerabilità di PaperCut e al tool Ligolo usato regolarmente da MuddyWater.

Il gruppo APT sta lavorando attivamente al framework per migliorarlo. La versione corrente individuata da Deep Instinct è scritta in Python3 ed è strutturalmente e funzionalmente simile a MuddyC3, un altro framework custom di MuddyWater scritto in Python2, rendendolo di fatto un suo successore.

Il framework si inserisce nelle fasi finali dell’Intrusion Kill Chain e permette a un attaccante di ottenere i dati di interesse dal dispositivo target.

Tra i comandi centrali del framework c’è “payload” per la generazione dei payload “C:\programdata\db.sqlite” e”C:\programdata\db.ps1″; “droper” che crea diverse varianti di comandi PowerShell per generare “C:\programdata\db.sqlite”; “list” per enumerare tutte le macchine connesse al server C2; “use” per ottenere una shell PowerShell su un computer remoto ed eseguire altri comandi; infine, “persist” per ottenere la persistenza sulla macchina colpita.

Per ottenere l’accesso iniziale ai sistemi, MuddyWater sfrutta tecniche di social engineering e server vulnerabili esposti sul web.

---

---

---

https://www.securityinfo.it/2023/07/04/muddywater-ha-sviluppato-un-nuovo-framework-c2/?utm_source=rss&utm_medium=rss&utm_campaign=muddywater-ha-sviluppato-un-nuovo-framework-c2

Giu 30, 2023 Marina Londei In evidenza, News, Prodotto, RSS, Vulnerabilità 0

---

Fabian Hagg, ricercatore presso SEC Consult, ha individuato quattro vulnerabilità che colpiscono alcuni prodotti SAP; tra questi spiccano ERP Central Component, S/4HANA, BW/4HANA, Solution Manager, SAP for Oil & Gas, SAP for Utilities, Supplier RelationShip Management, Human Capital Management e Employee Central Payroll.

Le vulnerabilità, identificate come CVE-2021-27610, CVE-2021-33677, CVE-2021-33684 e CVE-2023-0014 sono state scoperte durante l’analisi dell’interfaccia Remote Function Call per la comunicazione tra sistemi SAP. La 27610 e la 0014 sono state catalogate come critiche; entrambe risiedono nell’architettura usata per le comunicazioni RFC e HTTP, sia interne ai sistemi che cross-systems.

Hagg ha spiegato che sfruttando queste vulnerabilità un attaccante può compromettere l’intero sistema target; per di più, ha affermato Johannes Greil, head of SEC Consult Vulnerability Lab, la compromissione avviene senza alcuna interazione utente e senza dover prima ottenere permessi sul sistema.

Anche se questi sistemi generalmente possono essere raggiunti solo dall’interno, esistono alcune configurazioni che permettono di sfruttare le vulnerabilità direttamente dalla rete pubblica.

Le vulnerabilità, già pericolose di per sé, possono essere combinate in una catena di attacco per eseguire codice remoto senza autenticazione. Come illustrato da Hagg, il team di ricercatori ha eseguito l’attacco con successo in un ambiente di test.

SAP ha rilasciato aggiornamenti di sicurezza per tutte e quattro le vulnerabilità e ha invitato gli utenti ad aggiornare il prima possibile i prodotti vulnerabili. Oltre all’aggiornamento, gli utenti devono seguire alcuni step di post-installazione, come indicato nelle note di sicurezza condivise dall’azienda.

Al momento, spiegano i ricercatori di SEC Consult, non esistono dei workaround per limitare gli impatti delle vulnerabilità. Nel caso non si potessero aggiornare i sistemi, è consigliabile limitare l’accesso alla rete ai server vulnerabili, al fine di ridurre il più possibile la superficie di attacco.

---

---

---

https://www.securityinfo.it/2023/06/30/i-prodotti-sap-soffrono-di-vulnerabilita-critiche/?utm_source=rss&utm_medium=rss&utm_campaign=i-prodotti-sap-soffrono-di-vulnerabilita-critiche