Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Banner Ransomfeed 970x120 1
TM RedHotCyber 320x100 042514
Senza Password! Okta Rivela i Rischi del Bypass nell’Autenticazione per Nomi utente Lunghi

Senza Password! Okta Rivela i Rischi del Bypass nell’Autenticazione per Nomi utente Lunghi

Redazione RHC : 5 Novembre 2024 12:47

Okta ha scoperto una vulnerabilità nel suo sistema di sicurezza. Si è scoperto che Okta AD/LDAP DelAuth (autenticazione delegata) poteva essere aggirato utilizzando un nome utente molto lungo.

È stato riferito che l’errore poteva essere sfruttato solo se venivano soddisfatte una serie di condizioni, la chiave delle quali era che il nome utente fosse troppo lungo: più di 52 caratteri. Sebbene a prima vista ciò sembri improbabile, ci sono situazioni in cui, ad esempio, un indirizzo e-mail di lavoro viene utilizzato come nome utente.

La vulnerabilità era significativa solo se sull’account di destinazione era stato salvato un tentativo di accesso riuscito, inclusa una chiave di cache corrispondente generata utilizzando bcrypt. Secondo gli sviluppatori di Okta, questa chiave è costituita da una stringa con hash di ID utente, nome utente e password.


Banner 600x900 Betti Rha Cybersecurity Awareness

Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? 
Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto.
Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Anche la cache dovrebbe essere utilizzata per prima, cosa che secondo l’azienda “potrebbe verificarsi se l’agent AD/LDAP è inattivo o non disponibile, ad esempio a causa dell’intenso traffico di rete”. Va notato che affinché il bug possa essere sfruttato con successo, l’autenticazione a più fattori (MFA) deve essere disabilitata.

Come ha spiegato uno specialista della sicurezza di Brave : poiché l’algoritmo bcrypt ignora l’input superiore a una certa lunghezza e viene utilizzato per eseguire l’hashing della coppia nome utente e password, un nome utente sufficientemente lungo farà sì che qualsiasi password venga accettata.

Okta scrive di aver scoperto il problema il 30 ottobre 2024 e di averlo risolto lo stesso giorno. Al momento della scoperta, però, la vulnerabilità era già presente nel codice da più di tre mesi.

Per questo motivo, l’azienda consiglia ai clienti di abilitare l’MFA e di controllare i registri a partire dal 23 luglio di quest’anno, prestando attenzione ai tentativi di autenticazione che utilizzano nomi utente lunghi (52 caratteri o più).

L’azienda non ha specificato se sia attualmente a conoscenza di tentativi riusciti di sfruttare questo bug.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
Phishing contro PagoPA: nuova campagna abusa di open redirect Google
Di Redazione RHC - 17/10/2025

Il CERT-AGID ha rilevato una nuova variante del phishing ai danni di PagoPA. La campagna, ancora a tema multe come le precedenti, sfrutta questa volta un meccanismo di open redirect su domini legittim...

Immagine del sito
Nvidia perde il 95% dal mercato AI Cinese! Le restrizioni all’export fanno crollare la quota
Di Redazione RHC - 17/10/2025

Jen-Hsun Huang, fondatore e CEO di Nvidia, ha rivelato che le recenti restrizioni all’esportazione hanno drasticamente ridotto la presenza dei chip AI dell’azienda in Cina, passando dal 95% a una ...

Immagine del sito
Cyber-droni, elusione radar e sciami autonomi: Roma, la sfida invisibile del Giubileo 2025
Di Francesco Demarcus - 17/10/2025

Il Giubileo 2025 a Roma rappresenta una sfida non solo per la gestione di milioni di pellegrini e turisti, ma anche per la protezione dello spazio aereo urbano. I droni, sempre più diffusi e accessib...

Immagine del sito
100 anni di Intelligence italiana! Mattarella celebra il centenario del SIM al Quirinale
Di Redazione RHC - 16/10/2025

Il 15 ottobre 2025 segna un anniversario di eccezionale rilievo nella storia della sicurezza nazionale italiana: cento anni dalla nascita del Servizio Informazioni Militare (SIM), primo servizio di in...

Immagine del sito
Allarme: migliaia di siti italiani a rischio! 526.000 siti e 6.500 db in vendita nel Darkweb
Di Luca Stivali - 16/10/2025

Un nuovo post sul dark web offre l’accesso completo a migliaia di server e database MySQL appartenenti a provider italiani di hosting condiviso. Nelle ultime ore è apparso su un forum underground u...