Nov 02, 2021 Marco Schiaffino In evidenza, News, RSS, Scenario, Vulnerabilità 0

Una ricerca spiega come è possibile iniettare vulnerabilità nel codice sorgente di un software in modo che nessuno le possa notare.

Gli attacchi supply chain sono diventati un’emergenza e le cose potrebbero peggiorare. Almeno secondo gli autori di una ricerca che illustra Trojan Source, una tecnica che consentirebbe di alterare il codice dei software per inserirvi vulnerabilità “invisibili”.

Rispetto ai tradizionali attacchi a filiera, insomma, non si tratterebbe di inserire un componente malevolo nel software per poi colpire gli utenti, ma semplicemente iniettare delle falle di sicurezza.

Il trucchetto, spiegano in un report i ricercatori, si basa sull’idea di modificare il codice sorgente in modo che gli esseri umani vedano un determinato codice che, in fase di compilazione, viene invece interpretato in maniera diversa.

Per ottenere il risultato è possibile utilizzare diversi stratagemmi. Tra quelli descritti (CVE-2021-42574) ci sono i comandi inseriti nei commenti, che modificano l’ordine con cui vengono visualizzati i blocchi di codice, o l’uso di controlli che fanno apparire un commento come se fosse parte del codice stesso ma che, una volta compilato, non sarebbe presente.

La tecnica comprende anche l’omografia (CVE-2021-42694), cioè l’uso di caratteri di alfabeti stranieri che appaiono del tutto simili a quelli latini. Il loro inserimento nel codice, infatti, può modificare il funzionamento del software senza che una ricognizione visiva possa individuare l’anomalia.

La notizia è particolarmente preoccupante per quanto riguarda il mondo dell’open source, in cui il codice sorgente dei software è il frutto della collaborazione di numerosi soggetti i contributi, per loro stessa natura, sono soggetti soltanto al controllo degli altri programmatori che partecipano al progetto.

Lo scenario in cui si inserirebbe l’uso di Trojan Source, di conseguenza, sarebbe quello di un deliberato “sabotaggio” che consentirebbe di iniettare vulnerabilità nelle applicazioni per sfruttarle in seguito.

Insomma: qualcosa che non solo potrebbe avere effetti devastanti, ma che in questo periodo in cui si stanno moltiplicando gli attacchi di filiera, rischia di avere buone possibilità di verificarsi.