Red TIM Research scopre una Command Injection da 9,8 di score su Resi

Il laboratorio di ricerca zeroday di TIM (Red Team Research RTR), nell’ambito delle attività di bug hunting, ha rilevato 2 vulnerabilità zeroday sul sistema GEMINI-NET™, tecnologia dell’azienda italiana RESI Informatica.

Nello specifico, è stata rilevata una OS Command Injection che è stata valutata dal NIST con una Severity Critical e quindi con 9,8 di score. Tale vulnerabilità nasce dal mancato controllo dei parametri inviati come input nel sistema, prima che vengano elaborati dal server. 

A causa della mancanza della convalida dell’input dell’utente, un utente malintenzionato può ignorare la sintassi prevista dal software e iniettare comandi di sistema arbitrari con i privilegi dell’utente dell’applicazione.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

RESI S.p.A. è da oltre trent’anni partner tecnologico delle più grandi organizzazioni italiane come il Ministero della Difesa, la Presidenza del consiglio dei ministri, Poste italiane, Leonardo, Ferrovie dello Stato, TIM, Italtel ed è di fatto una tra le poche aziende italiane che crea tecnologica nazionale su questo specifico ambito.

Si precisa che tutte le patch sono state rilasciate da Resi per il superamento delle vulnerabilità specifiche.

Cosa è GEMINI-NET di Resi

GEMINI-NET™ è un sistema di Resi che consente di effettuare un monitoraggio attivo e passivo in ambito network e servizi di comunicazione, utilizzati nelle reti di vecchia e di nuova generazione. Tale piattaforma  è un sistema OSS integrabile, modulare e scalabile.

Monitora in tempo reale tutte le esigenze legate ai tipici servizi di rete e le problematiche infrastrutturali ed è in grado di ottimizzare le risorse e il traffico dati sulla rete.

Da quanto si legge dal sito istituzionale del gruppo di ricerca, nell’ambito delle attività svolte dal laboratorio, i ricercatori Alessandro Bosco, Fabio Romano e Stefano Scipioni, una volta individuate queste vulnerabilità, hanno immediatamente avviato il percorso di Coordinated Vulnerability Disclosure (CVD) assieme a Massimiliano Brolli, alla guida del progetto, effettuando la pubblicazione a valle della produzione delle fix da parte del produttore.

Di seguito i dettagli presenti sul sito del progetto e le valutazioni svolte dal NIST degli Stati Uniti D’America.

CVE-2022-29539 – RESI S.p.A

• Vulnerability Description: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection – CWE-78)
  Software Version: 4.2
  NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-29539
  CVSv3: 9.8
  Severity: Critical
  RESI Gemini-Net 4.2 is affected by OS Command Injection. It does not properly check the parameters sent as input before they are processed on the server. Due to the lack of validation of user input, an unauthenticated attacker can bypass the syntax intended by the software (e.g., concatenate `&|;\r\ commands) and inject arbitrary system commands with the privileges of the application user.

CVE-2022-29538 – RESI S.p.A

• Vulnerability Description: Improper Access Control – CWE-284
  Software Version: 4.2
  NIST: https://nvd.nist.gov/vuln/detail/CVE-2022-29538
  CVSv3: 5,3
  Severity: Medium
  RESI Gemini-Net Web 4.2 is affected by Improper Access Control in authorization logic. An unauthenticated user is able to access some critical resources.

Il Red Team Research di TIM

Si tratta di uno tra i pochi centri italiani di ricerca industriali in ambito di bug di sicurezza, dove da diverso tempo vengono effettuate attività di “bug hunting” che mirano alla ricerca di vulnerabilità non documentate. Le attività condotte dal team, portano ad una successiva emissione di CVE sul National Vulnerability Database degli Stati Uniti D’America, terminato il percorso di Coordinated Vulnerability Disclosure (CVD) con il vendor del prodotto.Advertisements

Nel corso dei due anni di attività, abbiamo visto il laboratorio, rilevare moltissimi bug 0-day su prodotti molto diffusi di big vendor di valenza internazionale, come ad esempio Oracle, IBM, Ericsson, Nokia, Computer Associates, Siemens, QNAP, Johnson & Control, Schneider Electric, oltre ad altri fornitori su tipologie differenti di architetture software/hardware.

Nel corso di due anni sono stati emessi oltre 70 CVE, delle quali 7 con severity Critical e 9,8 di score CVSSv3, 23 di severity High e le restanti con severity Medium.

Relativamente ad una vulnerabilità rilevata dal gruppo di ricerca sul prodotto Metasys Reporting Engine (MRE) Web Services, del fornitore Johnson & Control, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti D’America, ha emesso un avviso di sicurezza riportando come Background i settori quali: “CRITICAL INFRASTRUCTURE SECTORS, COUNTRIES/AREAS DEPLOYED e COMPANY HEADQUARTERS LOCATION”.

Si tratta di una realtà tutta italiana che emette una CVE ogni 6 giorni lavorativi di media, contribuendo in maniera fattiva alla ricerca delle vulnerabilità non documentate a livello internazionale, che si sta distinguendo a livello paese sull’elevata caratura delle attività svolte, oltre a contribuire all’innalzamento dei livelli di sicurezza dei prodotti utilizzati da organizzazioni e singole persone.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Massimiliano Brolli

Responsabile del RED Team e della Cyber Threat Intelligence di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

Aree di competenza: Bug Hunting, Red Team, Cyber Threat Intelligence, Cyber Warfare e Geopolitica, Divulgazione