Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

HackerHood, il gruppo di bug-hunter di RHC emette la prima CVE

Redazione RHC : 11 Maggio 2022 18:44

Ricercatore: Massimo Chirivì
URL Disclosure: CVE-2022-27909
NVD Link: CVE-2022-27909

HackerHood, l’iniziativa di Red Hot Cyber che ha unito in un gruppo di hacker etici una serie di ricercatori di sicurezza che effettuano “bug hunting”, ha iniziato a scaldare i motori ed ha emesso la sua prima CVE.

La CVE in questione riguarda jDownloads, un completo Download Manager per il premiato Content Management System (CMS) Joomla. È un’estensione GPL gratuita con molte funzioni speciali che semplifica la gestione dei download.

Pannello di amministrazione di jDownloads

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.

Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]



Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Questo Componente/Plugin è utilizzato anche in molte PA italiane dove viene utilizzato il Content management System Joomla.

    La vulnerabilità rilevata

    La vulnerabilità rilevata era su un componente relativo al noto CMS Joomla. Il componente è stato oggetto di analisi da parte del team di Hackerood durante un’attività di ricerca. La vulnerabilità permette ad un utente registrato di poter visualizzare (ma non scaricare) i nomi dei file riservati di altri utenti.

    Una volta rilevata, il ricercatore di sicurezza Massimo Chirivì, ha immediatamente prodotto il report di disclosure inviandolo al vendor, avviando in questo modo la Coordinate Vulnerability Disclosure.

    Nel frattempo ha registrato la nuova CVE in stato reserved presso il National Vulnerability Database degli Stati Uniti D’America.

    Non appena il vendor ha rilasciato la fix di sicurezza, ha proceduto ad eliminare la reservation effettuando la full-disclosure all’interno del sito si HackerHood, dove la potete trovare a questa URL.

    Nel momento in cui scriviamo l’articolo, la vulnerabilità risulta in valutazione della Severity da parte del National Institute of Standards and Technology (NIST)

    Cosa è HackerHood

    All’interno della community di Red Hot Cyber, prende forma l’iniziativa “HackerHood”.  Si tratta di un gruppo di hacker etici appassionati di divulgazione e condivisione, che hanno accettato di far accrescere la consapevolezza al rischio informatico, attraverso una serie di iniziative pratiche.

    Tutto questo (in completa aderenza al manifesto di RHC Communication), consentirà di incentivare le persone alla condivisione delle informazioni, in modo professionale ed etico, promuovendo innovazione e ricerca in ambito IT.

    Spesso molti specialisti nel settore dimenticano i principi fondamentali della community hacker, che sono sempre stati trasparenza, collaborazione ed etica. In particolare, in Italia, vediamo i singoli assumere un atteggiamento di completa chiusura verso la “conoscenza”, evitando di trametterla in quanto tale conoscenza è potere (“0wned”).

    L’Open Source “invece” ci ha insegnato che questo modello ha il suo valore per un tempo limitato e che dopo è costretto a sgretolarsi; questo perché molte persone non hanno compreso che “condividere è un dovere etico” per ognuno di noi, ovvero mettere a disposizione le proprie esperienze per consentire alla community di innalzare il livello di consapevolezza al rischio informatico, e questo non è mai stato tanto vero come in questo difficile periodo storico, soprattutto in Italia.

    Le iniziative che sono state previste all’interno di Hacker Hood in questo momento sono le seguenti:

    1. Divulgazione tecnico scientifica: redazione di guide e tutorial per poter far accrescere la cultura nell’ethical hacking, con dei corsi pratici anche per i neofiti, in modo da far appassionare i più piccoli e far scattare quella “scintilla” che permetterà di hackerare il loro e il nostro futuro;
    2. Analisi di sicurezza in regime “responsible disclosure”: effettuare attività di analisi sulla sicurezza perimetrale delle aziende pubbliche/private italiane, qualora abbiano attivato una politica di “responsible disclosure”. Tale modello permetterà di migliorare la cyber-posture delle aziende, oltre che fornire un ritorno in termini di sicurezza informatica delle infrastrutture italiane;
    3. Ricerca di vulnerabilità non documentate: effettuare attività di bug hunting su prodotti eterogenei, con lo scopo di individuare nuove falle di sicurezza, dando modo alle aziende di aggiornarli prima della pubblicazione della vulnerabilità. Tale attività si svolgerà in pieno regime di Coordinated Vulnerability Disclosure (CVD).

    Questo modello open source, consente di superare la logica del titolo di studio e della certificazione in ambito technical assessment, lasciando spazio ai singoli tester di dimostrare in campo il proprio valore e le proprie capacità, fornendo nel contempo a tutta la community italiana ed internazionale un grande servizio, oltre che ad un messaggio molto profondo.

    Si tratta di una chiamata alle armi contro il cybercrime, che al tempo stesso permette di divulgare consapevolezza incentivando la collaborazione, la trasparenza e l’etica nelle persone e soprattutto nei più giovani che si avvicinano a questa materia.

    Tutti vedono oggi la cybersecurity come un business, un modello di espansione, quando invece la cybersecurity è collettività, collaborazione, etica e incentivazione. Si tratta di un bene di primaria necessità come l’acqua e il pane ed è per questo che Hacker Hood vuole sottrarre un po’ di business dalle aziende, regalando il nostro sapere alla comunità, in quanto tutti oggi tutti devono avere accesso alla conoscenza del rischio informatico.

    RHC sta gettando un “piccolo seme” in un terreno poco fertile, con la speranza che possa germogliare anche con un cielo gonfio di nuvole nere e di piogge acide.

    Per poter partecipare al programma, devi essere in possesso di esperienze in ambito Pentesting , developement exploit, bug hunting e malware analysis ed inviarle alla casella di posta [email protected].

    “Tieni Il Mento Alto. Un Giorno Ci Sarà Di Nuovo La Felicità A Nottingham, Vedrai.” (Robin Hood)

    Redazione
    La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

    Lista degli articoli

    Articoli in evidenza

    Cos’è il Wetware: il futuro del potenziamento del cervello attraverso hardware e software
    Di Massimiliano Brolli - 29/08/2025

    A livello di definizione, per wetware si intende quella tecnologia che combina hardware e software per potenziare le forme di vita biologiche. Steve M. Potter, è un professore associato presso il...

    E’ Cyber Shock Globale! Gli 007 di Pechino si infiltrano e compromettono le dorsali Internet di tutto il mondo
    Di Redazione RHC - 29/08/2025

    Gli Stati Uniti e diversi Paesi alleati hanno lanciato un allarme congiunto sulla crescente offensiva cibernetica condotta da attori sponsorizzati dalla Repubblica Popolare Cinese. Secondo una nuova C...

    I gestori di password più diffusi, tra cui LastPass, 1Password e Bitwarden sono vulnerabili al clickjacking
    Di Redazione RHC - 28/08/2025

    Un esperto di sicurezza ha scoperto che sei dei gestori di password più diffusi, utilizzati da decine di milioni di persone, sono vulnerabili al clickjacking, un fenomeno che consente agli aggres...

    Vulnerabilità critiche in NetScaler ADC e Gateway. Aggiorna subito! Gli attacchi sono in corso!
    Di Redazione RHC - 28/08/2025

    NetScaler ha avvisato gli amministratori di tre nuove vulnerabilità in NetScaler ADC e NetScaler Gateway, una delle quali è già utilizzata in attacchi attivi. Sono disponibili aggiornam...

    Tentativo di phishing contro PagoPA? Ecco come ho fatto chiudere in 3 ore il sito malevolo
    Di Davide Santoro - 28/08/2025

    Grazie alla nostra community recentemente sono venuto a conoscenza di un tentativo di phishing contro PagoPA e ho deciso di fare due cose. Per prima cosa attivarmi in prima persona per arrecare un dan...