#vulnerabilità Archivi - Pagina 7 di 16

Red Hot Cyber

Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.

Tag: #vulnerabilità

Vulnerabilità critiche in BitLocker: Microsoft risolve 2 falle di sicurezza

Redazione RHC 11/09/2025

Due vulnerabilità significative nell’elevazione dei privilegi, che riguardano la crittografia BitLocker di Windows, sono state risolte da Microsoft. Il livello di gravità di queste falle, identificate come CVE-2025-54911 e CVE-2025-54912 è stato definito elevato. La divulgazione di tali vulnerabilità è avvenuta il 9 settembre 2025. Entrambi i bug CVE-2025-54911 che CVE-2025-54912 sono classificate come vulnerabilità “ Use-After-Free “, un tipo comune e pericoloso di bug di danneggiamento della memoria. Questa debolezza, catalogata in CWE-416, si verifica quando un programma continua a utilizzare un puntatore a una posizione di memoria dopo che tale memoria è stata liberata o deallocata. La scoperta del CVE-2025-54912

Vulnerabilità critica in Adobe Commerce e Magento: il bug SessionReaper

Redazione RHC 10/09/2025

Adobe ha segnalato un bug critico (CVE-2025-54236) che colpisce le piattaforme Commerce e Magento. I ricercatori hanno chiamato questa vulnerabilità SessionReaper e la descrivono come una delle più gravi nella storia di questi prodotti. Questa settimana, gli sviluppatori Adobe hanno già rilasciato una patch per il bug di sicurezza, che ha ricevuto un punteggio CVSS di 9,1. Si segnala che la vulnerabilità può essere sfruttata senza autenticazione per prendere il controllo degli account dei clienti tramite l’API REST di Commerce. Secondo gli esperti della società di sicurezza informatica Sansec, il 4 settembre Adobe ha notificato a “clienti Commerce selezionati” l’imminente correzione, che

Microsoft Patch Tuesday di settembre: 81 vulnerabilità e 2 0day attivi

Redazione RHC 10/09/2025

Il recente aggiornamento di sicurezza Patch Tuesday di settembre, ha visto Microsoft rilasciare una serie completa di update, andando a risolvere un totale di 81 vulnerabilità presenti all’interno dei propri prodotti e servizi. In particolare, ben 9 di queste vulnerabilità sono state classificate come critiche, con 2 di esse segnalate come zero-day, ovvero già note e sfruttate prima della pubblicazione delle correzioni. Queste ultime hanno destato particolare attenzione tra gli esperti del settore, in quanto sfruttate o descritte minuziosamente ancor prima della distribuzione delle soluzioni di sicurezza. La prima vulnerabilità, identificata come CVE-2025-55234, riguarda il server SMB. Consente agli aggressori di eseguire

10 su 10! SAP rilascia patch di sicurezza per vulnerabilità critiche in Netweaver

Redazione RHC 10/09/2025

SAP ha reso disponibili degli aggiornamenti per la sicurezza Martedì, con l’obiettivo di risolvere varie vulnerabilità. Tra queste vulnerabilità, ve ne sono tre particolarmente critiche che si verificano all’interno dell’ambiente SAP Netweaver. Queste problematiche di sicurezza potrebbero consentire l’esecuzione di codice a scelta dell’attaccante nonché il caricamento di file specifici senza vincoli particolari. Tutto questo dopo che un difetto critico di sicurezza presente in SAP S/4HANA, recentemente sanato dall’azienda (CVE-2025-42957, con un punteggio CVSS pari a 9,9), è stato oggetto di uno sfruttamento attivo; questa notizia giunge subito dopo che Pathlock e SecurityBridge hanno portato a conoscenza del problema, con le patch

Preludio alla compromissione: è boom sulle scansioni mirate contro Cisco ASA

Redazione RHC 10/09/2025

A fine agosto, GreyNoise ha registrato un forte aumento dell’attività di scansione mirata ai dispositivi Cisco ASA. Gli esperti avvertono che tali ondate spesso precedono la scoperta di nuove vulnerabilità nei prodotti. Questa volta, si tratta di due picchi: in entrambi i casi, gli aggressori hanno controllato massicciamente le pagine di autorizzazione ASA e l’accesso Telnet/SSH in Cisco IOS. Il 26 agosto è stato osservato un attacco particolarmente esteso, avviato da una botnet brasiliana, che ha utilizzato circa 17.000 indirizzi univoci e ha gestito fino all’80% del traffico. In totale, sono state osservate fino a 25.000 sorgenti IP. È interessante notare che

Un bug critico in FortiDDoS-F porta all’esecuzione di comandi non autorizzati

Redazione RHC 09/09/2025

Una falla di sicurezza è stata scoperta nella linea di prodotti FortiDDoS-F di Fortinet, che potrebbe permettere ad un attaccante con privilegi di eseguire comandi proibiti. La vulnerabilità, catalogata come CVE-2024-45325, rappresenta un problema di iniezione di comandi nel sistema operativo, localizzato nell’interfaccia a riga di comando (CLI) del prodotto. Nonostante i requisiti di privilegi elevati, il potenziale impatto su riservatezza, integrità e disponibilità è elevato. Il problema è stato scoperto internamente e segnalato da Théo Leleu del team Product Security di Fortinet. La vulnerabilità, identificata come CWE-78, deriva da una neutralizzazione impropria di elementi speciali utilizzati in un comando del sistema

Vulnerabilità RCE in Apache Jackrabbit: sfruttamento in atto, aggiornare subito

Redazione RHC 09/09/2025

È stata scoperta una pericolosa vulnerabilità in Apache Jackrabbit che può causare l’esecuzione remota di codice arbitrario e la compromissione dei sistemi aziendali. Il problema è registrato come CVE-2025-58782 e colpisce due componenti chiave contemporaneamente: Jackrabbit Core e JCR Commons. L’errore è presente in tutte le versioni dalla 1.0.0 alla 2.22.1 ed è considerato importante in termini di gravità. Il problema è legato alla deserializzazione non sicura dei dati quando si utilizzano richieste JNDI nei repository JCR. Se un’applicazione accetta parametri esterni per connettersi a un repository, un aggressore può iniettare un indirizzo JNDI dannoso. Il componente vulnerabile interpreta quindi l’oggetto codificato

Gli Hacker bypassano i WAF più rigidi con una riga JavaScript! Morale? Scrivi sicuro sempre

Redazione RHC 09/09/2025

All’interno di un test di sicurezza, i ricercatori di Ethiack hanno trovato un modo per aggirare anche i firewall per applicazioni Web più severi utilizzando una tecnica insolita: l’iniezione di JavaScript tramite inquinamento dei parametri HTTP. L’oggetto del test era un’applicazione ASP.NET con le regole di filtraggio più rigide. Qualsiasi tentativo di iniettare costrutti XSS standard veniva bloccato, ma grazie alle peculiarità dell’elaborazione dei parametri duplicati, i ricercatori sono stati in grado di raccogliere un payload funzionante che il firewall non aveva nemmeno rilevato. La chiave per aggirare il problema era che il metodo ASP.NET HttpUtility.ParseQueryString() combina parametri identici utilizzando le virgole.

Apple lancia il programma Security Research Device 2026 per ricercatori di sicurezza

Redazione RHC 08/09/2025

Apple ha annunciato che accetterà le candidature per il Security Research Device Program (SRDP) 2026. I ricercatori di bug (bug hunter) interessati a ricevere un iPhone configurato specificamente per la ricerca sulla sicurezza hanno tempo fino al 31 ottobre 2025 per presentare domanda. Dal 2020, Apple fornisce ai ricercatori speciali iPhone “jailbreakabili”. Nell’ambito del programma SRDP, i ricercatori ricevono un dispositivo che consente loro di analizzare la sicurezza di iOS senza dover bypassare le funzionalità di sicurezza attive su un normale telefono. I partecipanti al programma ricevono l’accesso shell per eseguire qualsiasi strumento, nonché l’accesso anticipato a software e prodotti di sicurezza,

L’AI ha bisogno dello Strizzacervelli! Può essere ingannata come gli esseri umani

Redazione RHC 08/09/2025

L’imprenditore Dan Shapiro si è imbattuto in un problema inaspettato: un popolare chatbot basato sull’intelligenza artificiale si è rifiutato di decifrare documenti aziendali, citando la violazione del copyright. Ma invece di arrendersi, Shapiro ha deciso di provare un vecchio trucco psicologico. Ricordava il libro di Robert Cialdini, “Influence: The Psychology of Persuasion”, che descrive tecniche di manipolazione efficaci sia per i venditori che per i clienti: simpatia, autorevolezza, scarsità, reciprocità, riprova sociale, coinvolgimento e unità. Dopo aver applicato queste strategie alla sua corrispondenza, Shapiro notò che il modello stava iniziando a cedere. Iniziò così uno studio scientifico che portò a una conclusione

Tag: #vulnerabilità

Categorie