Massimiliano Brolli : 9 Giugno 2022 08:09
Il laboratorio di ricerca zeroday di TIM (Red Team Research RTR), nell’ambito delle attività di bug hunting, ha rilevato una vulnerabilità zeroday sul sistema Archibus con score pari a 9.8 in scala CVSSv3 (con valori tra compresi tra 1 e 10).
Ricordiamo che RTR in passato aveva già scoperto ulteriori 3 vulnerabilità sullo stesso software. Si trattava di un’altra vulnerabilità con CVSSv3 pari a 9,8, una da 8,8 e un’altra da 6,1 come severity.
Si precisa che tutte le patch sono state rilasciate da Archibus per il superamento delle vulnerabilità riportata.
Archibus è una piattaforma IWMS (Integrated Workplace Management System) sviluppata da Archibus, Inc. La piattaforma è integrata in modo bidirezionale con la modellazione delle informazioni sugli edifici e il software di progettazione CAD.
CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC
Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?
Conosci il nostro corso sul cybersecurity awareness a fumetti?
Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.
Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il software Archibus viene utilizzato per gestire circa 15 milioni di proprietà in tutto il mondo. Il software Archibus è facilmente integrabile con i sistemi Mobile, GIS ed ERP come Oracle, SAP, Sage e altri.
Da quanto si legge dalla pagina istituzionale del gruppo di ricerca, nell’ambito delle attività svolte dal laboratorio, i ricercatori Luca Carbone, Mattia Campanelli, Alessandro Sabetta, una volta individuate queste vulnerabilità, hanno immediatamente avviato il percorso di Coordinated Vulnerability Disclosure (CVD) assieme a Massimiliano Brolli, alla guida del progetto, effettuando la pubblicazione a valle della produzione delle fix da parte del produttore.
Di seguito i dettagli presenti sul sito del progetto e le valutazioni svolte dal NIST degli Stati Uniti D’America.
Si tratta di uno tra i pochi centri italiani di ricerca industriali in ambito di bug di sicurezza, dove da diverso tempo vengono effettuate attività di “bug hunting” che mirano alla ricerca di vulnerabilità non documentate. Le attività condotte dal team, portano ad una successiva emissione di CVE sul National Vulnerability Database degli Stati Uniti D’America, terminato il percorso di Coordinated Vulnerability Disclosure (CVD) con il vendor del prodotto.Advertisements
Nel corso dei due anni di attività, abbiamo visto il laboratorio, rilevare moltissimi bug 0-day su prodotti molto diffusi di big vendor di valenza internazionale, come ad esempio Oracle, IBM, Ericsson, Nokia, Computer Associates, Siemens, QNAP, Johnson & Control, Schneider Electric, oltre ad altri fornitori su tipologie differenti di architetture software/hardware.
Nel corso di due anni sono stati emessi oltre 70 CVE, delle quali 7 con severity Critical e 9,8 di score CVSSv3, 23 di severity High e le restanti con severity Medium.
Advertisements
Relativamente ad una vulnerabilità rilevata dal gruppo di ricerca sul prodotto Metasys Reporting Engine (MRE) Web Services, del fornitore Johnson & Control, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti D’America, ha emesso un avviso di sicurezza riportando come Background i settori quali: “CRITICAL INFRASTRUCTURE SECTORS, COUNTRIES/AREAS DEPLOYED e COMPANY HEADQUARTERS LOCATION”.
Si tratta di una realtà tutta italiana che emette una CVE ogni 6 giorni lavorativi di media, contribuendo in maniera fattiva alla ricerca delle vulnerabilità non documentate a livello internazionale, che si sta distinguendo a livello paese sull’elevata caratura delle attività svolte, oltre a contribuire all’innalzamento dei livelli di sicurezza dei prodotti utilizzati da organizzazioni e singole persone.
Massimiliano BrolliUn ex dirigente di Google lancia l’allarme: l’intelligenza artificiale è pronta a spodestare i lavoratori e trascinarci verso una distopia. Mo Gawdat, lancia l’allarme: l...
Una Panda del 2003, acquistata per appena 800 €, è diventata qualcosa di totalmente diverso, anche per noi di Red Hot Cyber! Grazie alla genialità di Matteo Errera e Roberto Za...
Mentre l’ondata di caldo e il desiderio di una pausa estiva spingono milioni di persone verso spiagge e città d’arte, i criminali informatici non vanno in vacanza. Anzi, approfittan...
Di recente, i criminali informatici si sono nuovamente concentrati su vecchie vulnerabilità presenti nelle popolari telecamere Wi-Fi e nei DVR D-Link. La Cybersecurity and Infrastructure Security...
Per decenni abbiamo celebrato il digitale come la promessa di un futuro più connesso, efficiente e democratico. Ma oggi, guardandoci intorno, sorge una domanda subdola e inquietante: e se fossimo...
