Sito dell’Arma dei Carabinieri. Attenzione alle information disclosure

Come sappiamo, il sito web dei Carabinieri, che ieri ha avuto un attacco Distributed Denial-of-Service (DDoS) da parte del collettivo di hacker hacktivisti NoName57, soffre di problemi di depurazione degli input.

Infatti nella trace dell’applicazione Microsoft ASP.NET, viene riportato quanto segue:

Descrizione: ASP.NET ha rilevato dati nella richiesta che sono potenzialmente pericolosi perché potrebbero includere markup o script HTML. I dati potrebbero rappresentare un tentativo di compromettere la sicurezza dell'applicazione, ad esempio un attacco di scripting tra siti. Se questo tipo di input è appropriato nella tua applicazione, puoi includere codice in una pagina Web per consentirlo esplicitamente. Per ulteriori informazioni, vedere http://go.microsoft.com/fwlink/?LinkID=212874.

Di seguito l’errore che viene mostrato eseguendo una semplicissima GET sul sito web dell’arma dei carabinieri[.]it, che non ha nulla a che vedere con gli attacchi “Slow HTTP Attack”, ma che comunque potrebbe consentire un accesso ad informazioni utili ad attacchi mirati. Inoltre, sarebbe opportuno verificare la presenza di eventuali SQL injection che possono consentire un accesso abusivo al database.

Il messaggio di errore che mostra il server fornisce anche una serie di informazioni utili per condurre un attacco mirato (information disclosure) come ad esempio la versione del Framework .NET e la versione di ASP.NET che fa comprendere (come le estensioni delle pagine aspx) che l’infrastruttura utilizzata è Windows Server.

E’ consigliabile anche in questo caso disabilitare la trace degli errori per evitare la divulgazione di ulteriori informazioni che possono essere utili per condurre un attacco mirato.

Edit delle 15:21 del 23/02/2023: Ci ha contattato l’ufficio stampa dell’Arma dei Carabinieri ringraziandoci della segnalazione, informandoci che i tecnici IT stanno lavorando per la risoluzione dell’anomalia segnalata da Red Hot Cyber. Come Red Hot Cyber, ringraziamo l’Arma dei Carabinieri per la pronta attenzione su questi aspetti relativi alla sicurezza informatica sulle infrastrutture critiche nazionali.

Come rendere sicura una applicazione ASP.NET

Ci sono diversi modi per rendere più sicura un’applicazione ASP.NET e limitare la divulgazione di informazioni sensibili.

Ecco alcuni suggerimenti:

• Impostare le impostazioni di sicurezza nel file web.config: È possibile utilizzare le impostazioni di sicurezza disponibili nel file web.config per limitare l’accesso a determinate directory e file dell’applicazione, disabilitare alcune funzionalità, controllare l’accesso ai cookie e molto altro ancora.
• Utilizzare la crittografia per proteggere i dati sensibili: È possibile utilizzare la crittografia per proteggere i dati sensibili come le password degli utenti, le chiavi di crittografia, le informazioni di pagamento e altre informazioni sensibili.
• Disabilitare i messaggi di errore dettagliati: Quando un’applicazione ASP.NET genera un errore, viene visualizzato un messaggio di errore dettagliato che può contenere informazioni sensibili come stack trace e messaggi di debug. È possibile disabilitare questi messaggi di errore dettagliati e invece visualizzare un messaggio di errore generico per impedire la divulgazione di informazioni sensibili.
• Validare l’input dell’utente: È importante validare l’input dell’utente per evitare attacchi di injection SQL e altri tipi di attacchi. È possibile utilizzare la validazione lato client e lato server per garantire che l’input dell’utente sia valido e non possa essere utilizzato per eseguire attacchi.
• Limitare l’accesso alle risorse dell’applicazione: È possibile utilizzare le autorizzazioni per limitare l’accesso alle risorse dell’applicazione, come i file e le directory. In questo modo, solo gli utenti autorizzati possono accedere alle risorse dell’applicazione.
• Aggiornare regolarmente l’applicazione e le librerie esterne: È importante tenere l’applicazione e le librerie esterne aggiornate per correggere eventuali vulnerabilità di sicurezza.
• Monitorare l’applicazione per individuare eventuali attività sospette: È importante monitorare l’applicazione per individuare eventuali attività sospette, come tentativi di accesso non autorizzati o di esecuzione di codice malevolo.

Questi sono solo alcuni suggerimenti per rendere più sicura un’applicazione ASP.NET. È importante considerare tutte le possibili minacce alla sicurezza e prendere le misure appropriate per proteggere l’applicazione.

Come depurare gli input in una applicazione ASP.NET

In ASP.NET, ci sono diverse librerie di depurazione degli input che è possibile utilizzare per proteggere l’applicazione dalle vulnerabilità di sicurezza, come ad esempio attacchi di injection SQL o di cross-site scripting (XSS).

Di seguito sono riportate alcune librerie di depurazione degli input che è possibile utilizzare in ASP.NET:

• AntiXSS Library: questa libreria offre una vasta gamma di funzioni di depurazione degli input per proteggere le applicazioni ASP.NET dalle vulnerabilità di sicurezza. Ad esempio, è possibile utilizzare la funzione “Encode” per convertire i caratteri speciali in HTML entità, in modo che non possano essere interpretati come codice HTML o JavaScript.
• Microsoft Web Protection Library (WPL): questa libreria offre un insieme di funzioni per la protezione delle applicazioni web contro gli attacchi di injection SQL e XSS. Inoltre, WPL offre anche funzioni per la validazione dei dati di input, come la validazione della lunghezza massima e minima dei campi di input.
• ESAPI Library: questa libreria offre una vasta gamma di funzioni di depurazione degli input per proteggere le applicazioni web dalle vulnerabilità di sicurezza. Ad esempio, è possibile utilizzare la funzione “EncodeForHTML” per convertire i caratteri speciali in HTML entità.
• RequestValidator: questa libreria è integrata in ASP.NET e offre funzioni di depurazione degli input per proteggere le applicazioni web dalle vulnerabilità di sicurezza. RequestValidator può essere configurato per disattivare la convalida dei dati di input per specifiche pagine o campi di input.
• HtmlSanitizer: questa libreria offre funzioni per la pulizia del codice HTML dalle vulnerabilità di sicurezza. Ad esempio, HtmlSanitizer può essere utilizzato per rimuovere i tag HTML non consentiti e per codificare i caratteri speciali in HTML entità.

È importante notare che, anche se l’utilizzo di queste librerie può aiutare a proteggere le applicazioni web dalle vulnerabilità di sicurezza, la sicurezza dell’applicazione dipende anche dallo sviluppatore che utilizza queste librerie in modo corretto.

Ovviamente come Red Hot Cyber rimaniamo a completa disposizione dell’Arma dei Carabinieri qualora volesse sapere ulteriori informazioni.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono accedere utilizzare la mail crittografata del whistleblower.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.