Redazione RHC : 22 Ottobre 2022 09:00
Secondo la società di sicurezza di WordPress Defiant, sono in corso tentativi per sfruttare una nuova vulnerabilità in Apache Commons Text (CVE-2022-42889). Chiamato Text4Shell, la falla interessa le versioni da 1.5 a 1.9 della libreria, alcuni credono che questo problema potrebbe diventare il nuovo Log4Shell.
Il bug di sicurezza ha ricevuto un punteggio di 9,8 su 10 sulla scala di valutazione della vulnerabilità CVSS.
Apache Commons Text è una libreria Java open source per la manipolazione di stringhe di caratteri. E già nel marzo 2022, l’esperto di GitHub Security Lab Alvaro Muñoz ha scoperto che la libreria era vulnerabile a una RCE correlata alla gestione inaffidabile dei dati e all’interpolazione delle variabili.
Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber
«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi».
Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca.
Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare.
Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
La vulnerabilità è stata corretta dagli sviluppatori di Apache Commons la scorsa settimana, con il rilascio della versione 1.10.0.
In particolare, gli analisti di Rapid7 hanno pubblicato la propria analisi e hanno spiegato che non tutte le versioni della libreria dalla 1.5 alla 1.9 sono vulnerabili e il potenziale di sfruttamento è associato alla versione del JDK utilizzata. Notano inoltre che non è del tutto corretto confrontare la nuova vulnerabilità con Log4Shell.
“La natura della vulnerabilità è tale che, a differenza di Log4Shell, un’applicazione utilizzerà raramente il componente vulnerabile Commons Text per elaborare input non attendibili e potenzialmente dannosi”
ha affermato Rapid7 in un rapporto.
I ricercatori hanno testato l’exploit PoC su varie versioni del JDK e ha funzionato solo sulle versioni 9.0.4, 10.0.2 e 1.8.0_341. Tuttavia, va notato che è già stato presentato un exploit PoC aggiornato che funziona su tutte le versioni vulnerabili e si è scoperto che anche le versioni JDK 15+ sono interessate dal bug.
Gli esperti di Sophos concordano anche con il punto di vista dei colleghi, secondo i quali la vulnerabilità è pericolosa, ma al momento non è facile utilizzarla su server vulnerabili come Log4Shell. E anche lo stesso Munoz, che ha scoperto il bug, ha anche spiegato che, nonostante la somiglianza con Log4Shell, è probabile che la nuova vulnerabilità sia poco diffusa e molto meno pericolosa.
Questa è anche l’opinione del team di sicurezza di Apache, che ha affermato che la portata del problema non è paragonabile a quella di Log4Shell. Cioè, è improbabile che le applicazioni che utilizzano la libreria passino inavvertitamente input non sicuri senza convalida.
Tuttavia, nonostante tutti questi rapporti degli specialisti, gli analisti di Defiant hanno avvertito che gli hacker hanno già iniziato a sfruttare la CVE-2022-42889.
La società ha monitorato 4.000.000 di siti da quando il problema è stato divulgato (17 ottobre) e ora segnala di aver rilevato tentativi di hacking originati da circa 40 indirizzi IP e iniziati il 18 ottobre.
RedazioneSecondo quanto riportato dai media, le autorità statunitensi starebbero segretamente inserendo dispositivi di localizzazione in lotti di chip che potrebbero essere dirottati illegalmente verso la...
Una nuova campagna malware per Android sta prendendo di mira i clienti bancari in Brasile, India e Sud-est asiatico, combinando frodi contactless NFC, intercettazione delle chiamate e sfruttamento del...
Google sta testando una nuova funzionalità per migliorare la privacy nella modalità di navigazione in incognito di Chrome su Windows: il blocco degli script in incognito (PrivacySandboxFinge...
Sembra che gli Stati Uniti abbiano già seriamente preso in considerazione il concetto di guerra autonoma. Il jet da combattimento autonomo della DARPA , risulta in grado di combattere senza pilot...
CrowdStrike ha pubblicato il suo Global Threat Report 2025, che documenta un balzo in avanti nel comportamento dei criminali informatici e dei gruppi statali. Gli esperti definiscono il 2024 “l...
