La Community di BackBox scopre Bug di Sicurezza sul Software Zucchetti Ad Hoc Infinity

La sicurezza informatica è una sfida sempre più complessa, soprattutto per software aziendali come Zucchetti Ad Hoc Infinity, un ERP (Enterprise Resource Planning) molto utilizzato e apprezzato per gestire processi critici nelle aziende.

Recentemente, la community di BackBox, guidata da Raffaele Forte, ha scoperto delle vulnerabilità che potrebbero mettere a rischio i dati e le operazioni delle organizzazioni che utilizzano questa piattaforma.

Le vulnerabilità scoperte

Gli esperti di BackBox hanno individuato una serie di falle critiche, tra cui:

• CVE-2024-51319 – Esecuzione di Codice Remoto (RCE): Gli attaccanti possono sfruttare questa vulnerabilità per eseguire comandi arbitrari sui server che ospitano il software, acquisendo potenzialmente il pieno controllo del sistema.
• CVE-2024-51322 – Reflected Cross-Site Scripting (XSS): Questa vulnerabilità consente l’utilizzo di script nelle pagine web degli utenti, mettendo a rischio la sicurezza degli utenti.
• CVE-2024-51320 – Stored Cross-Site Scripting (XSS): Questa vulnerabilità consente l’inserimento di script nelle pagine del server web, mettendo a rischio la sicurezza degli utenti.
• CVE-2024-51321 – reindirizzamento non validato: si verifica quando un’applicazione web consente agli utenti di essere reindirizzati a un URL specificato senza una validazione adeguata.

L’importanza della scoperta

Questa analisi dimostra l’importanza della ricerca indipendente da parte di community hacker e di gruppi come la community di BackBox, che contribuiscono a migliorare la sicurezza di software utilizzati da migliaia di aziende.

Raffaele Forte, leader del progetto, ha sottolineato come l’obiettivo sia quello di collaborare con i produttori per correggere tempestivamente le vulnerabilità e aumentare la consapevolezza delle organizzazioni sui rischi legati a configurazioni deboli o a patch non applicate.

Raccomandazioni per le aziende

Per mitigare i rischi associati a queste vulnerabilità, BackBox suggerisce:

1. Aggiornamento immediato: Controllare con il produttore la disponibilità di patch di sicurezza e installarle senza ritardi.
2. Hardening delle configurazioni: Verificare e rafforzare le impostazioni di sicurezza, limitando i privilegi degli utenti e adottando il principio del minimo privilegio.
3. Monitoraggio continuo: Implementare soluzioni di monitoraggio per rilevare eventuali attività sospette o tentativi di exploit.
4. Formazione del personale IT: Sensibilizzare i team IT sulle specifiche vulnerabilità e sui metodi per prevenirle.
5. Penetration Testing: Effettuare regolari test di sicurezza per individuare e correggere nuove falle nel sistema.

Conclusione

Nel mondo della sicurezza informatica, le aziende non possono più permettersi di operare in isolamento. Collaborare con la community di hacker etici è diventato un elemento chiave per garantire la resilienza dei propri prodotti e servizi. Questi ricercatori, spesso animati da una genuina passione per la scoperta di vulnerabilità (bug hunting), rappresentano una risorsa inestimabile. Non solo aiutano a individuare potenziali falle prima che possano essere sfruttate, ma forniscono un contributo diretto al miglioramento della qualità e della sicurezza delle soluzioni aziendali.

Le vulnerabilità zero-day, se non gestite, possono avere conseguenze devastanti per le aziende, con danni reputazionali e finanziari significativi. È qui che la collaborazione con la community diventa strategica: incentivare la ricerca e il reporting responsabile consente di prevenire incidenti di sicurezza e di rafforzare la fiducia degli utenti. Zucchetti ha dimostrato come una partnership aperta e trasparente con la community di BackBox possa portare risultati concreti, migliorando non solo la sicurezza del proprio prodotto, ma anche l’immagine aziendale.

Molte aziende italiane dovrebbero prendere esempio da Zucchetti!

Incoraggiare e valorizzare il lavoro dei ricercatori indipendenti significa adottare un approccio proattivo e lungimirante alla cybersecurity. Creare programmi di bug bounty o altre iniziative di collaborazione (e incentivazione strutturata) può trasformare una potenziale minaccia in un’opportunità di crescita. È solo attraverso questa sinergia che le aziende possono affrontare le sfide sempre più complesse del panorama digitale, garantendo prodotti sicuri e costruendo un ecosistema di fiducia con la community di esperti.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks