Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Breldo Italia ha aperto BreldoBox ai test di Hackerhood, che hanno individuato circa 70 vulnerabilità, tra cui RCE, SQLi e XSS. L'azienda ha scelto la trasparenza, corretto i problemi con il firmware 6.1 e dimostrato come la collaborazione con gli hacker etici rafforzi la sicurezza e favorisca la conformità al Cyber Resilience Act.
La differenza tra un’azienda sicura e una vulnerabile non risiede nell’assenza di bug, ma nel modo in cui questi vengono gestiti e nell’approccio delle aziende verso i ricercatori di sicurezza.
Recentemente, BreldoItalia, ha compiuto un passo coraggioso e non scontato: ha aperto le porte del proprio ecosistema BreldoBox al team di Hackerhood per un’attività gratuita di testing intensivo.
Il risultato? Un report onesto e allo stesso tempo crudo, che conta circa 70 vulnerabilità, ma che segna allo stesso tempo l’inizio di un percorso di miglioramento senza precedenti per un produttore, che ha capito che la community di hacker etici, può essere puo’ essere una risorsa piuttosto che un fastidio.
L’analisi presentata in questo articolo è stata condotta dai ricercatori di sicurezza Manuel Roccon e Alessandro Sgreccia del team Hackerhood.
Il BreldoBox è un dispositivo hardware e software dedicato alla gestione e al controllo degli accessi per reti Wi-Fi, utilizzato prevalentemente in contesti aziendali, strutture ricettive e ambienti pubblici ad alta affluenza.
L’apparato adotta un’architettura di tipo Edge: l’elaborazione dei dati, le policy di sicurezza e le funzioni di captive portal, firewall e instradamento del traffico (SD-WAN) avvengono localmente sul dispositivo stesso, riducendo la dipendenza da server cloud esterni.
Le sue funzioni principali includono la segmentazione logica delle reti, l’autenticazione degli utenti ospiti e il monitoraggio del traffico in tempo reale per garantire la stabilità e l’isolamento delle connessioni.
Le vulnerabilità individuate dal team di Hackerhood si dividono principalmente in tre categorie critiche:
Perché così tante?
L’analisi ha evidenziato che molte delle vulnerabilità individuate erano riconducibili a componenti software e logiche applicative condivise tra diverse funzionalità del BreldoBox. Questo aspetto ha consentito di identificare rapidamente le cause comuni e di intervenire in modo sistematico, applicando correzioni estese a più aree del prodotto.
Come da consueta procedura di Responsible Disclosure, dopo aver notificato al produttore e aver permesso l’avvio delle attività di patching, il team ha proceduto alla richiesta degli identificativi CVE (Common Vulnerabilities and Exposures) presso il MITRE.
Attualmente le richieste sono in fase di elaborazione. Data l’entità dei bug scovati e l’attuale carico di lavoro degli enti certificatori, il MITRE ha confermato la presa in carico specificando che l’assegnazione segue un modello di gestione basato sul rischio:
“We have a large volume of CVE requests and we process CVE ID requests on a risk-based management model. We’ll let you know when your request has been processed.”
Nonostante le vulnerabilità totali rilevate nel sistema sfiorino quota 70, la nostra analisi ha isolato i vettori più critici che sono state sottoposte al processo di assegnazione CVE. Nello specifico, l’attenzione si è concentrata su 8 macro-vulnerabilità strutturali:
Va fatto un plauso a BreldoItalia. In un settore dove molti produttori tendono a nascondere le falle sotto il tappeto (il cosiddetto Security through obscurity), Breldo ha scelto la via della trasparenza.
“Collaborare con Hackerhood e rendere pubblici i risultati non è un segno di debolezza, ma un atto di responsabilità verso i propri clienti.”
Questa mentalità consente di trasformare i risultati del testing in un piano di intervento mirato, permettendo al produttore di rafforzare in modo sistematico la sicurezza dei propri dispositivi.
Bravi.
BreldoItalia ha trasformato i risultati dei test di sicurezza in interventi concreti, implementando gli aggiornamenti necessari per correggere le vulnerabilità individuate e rafforzare la protezione dei propri dispositivi.
Il percorso di remediation ha portato al rilascio della patch che aggiorna il firmware Breldo O.S. alla versione 6.1, migliorando ulteriormente la sicurezza dei sistemi e dei servizi offerti.
Per evitare che pattern di errore si ripetano su larga scala, è fondamentale che realtà come Breldo integrino i test di sicurezza direttamente nel ciclo di vita del software (SDLC).
Per garantire la massima sicurezza, i test dovrebbero dividersi in due grandi famiglie:
SAST (Static Application Security Testing): Analizza il codice sorgente “a riposo”, senza eseguire l’applicazione. È fondamentale per scovare i pattern di sviluppo errati (come quelli trovati in BreldoBox) prima ancora che il software venga compilato. È particolarmente efficace nell’individuare pattern di codice che possono dare origine a SQL Injection, Command Injection e altre vulnerabilità prima della distribuzione del software.
DAST (Dynamic Application Security Testing): Analizza l’applicazione mentre è in esecuzione, simulando attacchi dall’esterno (come farebbe un hacker). È perfetto per individuare vulnerabilità di configurazione e problemi di runtime come gli XSS.
L’iniziativa di BreldoItalia non rappresenta soltanto una scelta orientata alla trasparenza, ma si inserisce pienamente nella direzione indicata dal Cyber Resilience Act (CRA), il regolamento europeo che introduce requisiti obbligatori di cybersicurezza per tutti i prodotti con elementi digitali.
Il CRA impone ai produttori di adottare un approccio security by design e security by default, integrando la sicurezza fin dalle prime fasi di progettazione e garantendo configurazioni sicure per impostazione predefinita.
A questi requisiti si affianca l’obbligo di gestire le vulnerabilità lungo l’intero ciclo di vita del prodotto (5 anni minimo), distribuire aggiornamenti di sicurezza tempestivi e adottare una Coordinated Vulnerability Disclosure (CVD) Policy, mettendo a disposizione un canale dedicato attraverso il quale ricercatori e terze parti possano segnalare in modo responsabile eventuali vulnerabilità.
In questo scenario, attività di penetration testing indipendente e la collaborazione con la comunità della sicurezza non rappresentano soltanto una buona pratica tecnica, ma costituiscono strumenti fondamentali per migliorare la resilienza dei prodotti e facilitare la conformità ai requisiti introdotti dalla normativa europea.
Il caso Breldo-Hackerhood dimostra che la sicurezza informatica non è una destinazione, ma un viaggio continuo. Identificare 70 vulnerabilità non è un fallimento, ma una vittoria della consapevolezza.
Grazie a questa attività, BreldoItalia può ha potuto intervenire sui difetti strutturali del proprio codice, garantendo un prodotto finale decisamente più sicuro.
Se sei una azienda che vuole testare la sicurezza dei propri device o infrastrutture, invia una email a [email protected]. Possiamo analizzare gratuitamente la tua infrastruttura o i tuoi device con i nostri ricercatori di sicurezza.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/