Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 3 Maggio 2021 09:58
Dei ricercatori svizzeri di sicurezza informatica hanno recentemente scoperto delle falle di sicurezza in Composer, lo strumento software che i team di programmazione utilizzano per accedere al Packagist, il principale archivio online di moduli software PHP.
Questi bug avrebbero potuto consentire ai criminali informatici di di impiantare del malware all’interno del sistema Packagist stesso, contaminando così lo stesso repository utilizzato da gran parte della comunità PHP.
Questo tipo di attacco è noto, per ovvi motivi, come un attacco alla catena di approvvigionamento (supply-chain-attack).
Fortunatamente il team di Composer ha rilasciato una hotfix in sole 12 ore e una patch ufficiale dopo cinque giorni.
Anche se i ricercatori hanno riferito che “alcuni dei codici vulnerabili erano presenti sin dalle prime versioni di Composer, 10 anni fa”, ma sembra che questa fosse la prima volta che questi difetti siano stati individuati.
Se sei sorpreso che così tanti fornitori di software, sia open source che commerciali, si affidino direttamente a repository di codice centralizzato che non riescono a controllare pienamente, non dovresti esserlo.
Dopotutto, oggi nessuna azienda produce tutto il suo software, ma utilizza componenti presenti all’interno di repository centralizzati, dove nell’era degli attacchi alle catene di approvvigionamento, la mancata sicurezza di questi “contenitori” miete vittime più che ogni altro attacco cyber, come abbiamo visto in Solarwinds.
Quasi tutte le moderne comunità di sviluppo software hanno enormi tesori online di codice sorgente già impacchettato e pronto per essere utilizzato nel tuo software, come di fatto ci è stato insegnato di fare nella programmazione ad oggetti (OOP), il modo per promuovere ciò che è noto nel settore come riutilizzo del codice.
L’idea è di ovviare alla necessità per ogni programmatore e ogni azienda di software nel mondo di reinventare, riprogettare e reimplementare i componenti software principali che già sono stati collaudati e funzionano bene.
Ma se qualcuno inserisce al loro interno del malware…
Nel caso di PHP, sembra che i bravi ragazzi abbiano scoperto questi bug prima che lo facessero i cattivi. Sarà vero?
Fonte
RedazioneIl Roskomnadzor della Federazione Russa ha annunciato che continua a imporre restrizioni sistematiche all’app di messaggistica WhatsApp a causa di violazioni della legge russa. Secondo l’agenzia, ...
Siamo nell’era dell’inganno a pagamento. Ogni tuo click è un referendum privato in cui vincono sempre loro, gli algoritmi. E non sbagliano mai: ti osservano, ti profilano, ti conoscono meglio di ...
Questa mattina Paragon Sec è stata contattata da un’azienda italiana vittima di un nuovo tentativo di frode conosciuto come Truffa del CEO. L’ufficio contabilità ha ricevuto un’e-mail urgente,...
i ricercatori di Check Point Software, hanno recentemente pubblicato un’indagine sull’aumento delle truffe farmaceutiche basate sull’intelligenza artificiale. È stato rilevato come i criminali ...
L’Agenzia dell’Unione europea per la sicurezza informatica (ENISA) ha assunto il ruolo di Root all’interno del programma Common Vulnerabilities and Exposures (CVE), diventando il principale punt...
