Sandro Sana : 19 Luglio 2025 09:06
Il team Apache ha recentemente risolto una vulnerabilità denial-of-service (DoS) classificata come ad alta severità nel C’è un nuovo ospite scomodo nei data center di mezzo mondo. Si chiama CVE-2025-53506 e non fa rumore come un ransomware, non si manifesta con popup inquietanti o furti spettacolari. No, questa vulnerabilità preferisce agire silenziosamente, bloccando i server Apache Tomcat in modo chirurgico, senza richiedere privilegi, interazione o exploit complessi. Una vera bomba logica a basso costo.
Apache, fortunatamente, ha agito in fretta. L’11 luglio 2025 ha rilasciato una patch per questo bug classificato come Denial of Service (DoS) a severità elevata, che colpisce in particolare l’implementazione di HTTP/2 nel popolare web server Java. A dare l’allarme è stato anche il team Insikt Group di Recorded Future, ha pubblicato un’analisi dettagliata, confermando l’assenza di exploit attivi nel momento della disclosure ma suggerendo di non abbassare la guardia.
HTTP/2, il protocollo nato per rendere più veloce la comunicazione web, gestisce le connessioni TLS attraverso uno scambio di “frame” iniziali tra client e server, tra cui il famigerato SETTINGS. E qui nasce il problema: se il client non invia il SETTINGS ACK, il server Apache Tomcat non può applicare il limite al numero massimo di stream concorrenti. Ogni stream viene associato a un thread, ed ecco che l’aggressore può semplicemente aprire centinaia (o migliaia) di connessioni, esaurendo il thread pool e bloccando il servizio, senza violare firewall né generare traffico anomalo.
Prompt Engineering & Sicurezza: diventa l’esperto che guida l’AIVuoi dominare l’AI generativa e usarla in modo sicuro e professionale? Con il Corso Prompt Engineering: dalle basi alla cybersecurity, guidato da Luca Vinciguerra, data scientist ed esperto di sicurezza informatica, impari a creare prompt efficaci, ottimizzare i modelli linguistici e difenderti dai rischi legati all’intelligenza artificiale. Un percorso pratico e subito spendibile per distinguerti nel mondo del lavoro. Non restare indietro: investi oggi nelle tue competenze e porta il tuo profilo professionale a un nuovo livello. Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]  Supporta RHC attraverso:
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Nessun privilegio richiesto. Nessun input da parte dell’utente. Nessun exploit in stile Hollywood. Solo un abuso intelligente di un comportamento previsto dal protocollo stesso. Questo rende l’attacco:
Il punteggio CVSS v4 assegnato da Recorded Future è 6.9, tecnicamente classificato come “Medium”, ma nella pratica l’impatto può essere critico, soprattutto in architetture containerizzate o microservizi dove ogni blocco può avere effetto a cascata.
Secondo la mailing list ufficiale di Apache e l’advisory su GitHub, le versioni vulnerabili includono:
Il consiglio, lapidario come sempre: aggiornare subito a Tomcat 11.0.9, 10.1.43 o 9.0.107, dove il bug è stato definitivamente corretto. Le patch rafforzano il controllo sugli stream e inseriscono comportamenti di fallback in caso di SETTINGS ACK mancanti.
Nell’analisi prodotta da Recorded Future, viene chiarito che non sono ancora state osservate campagne di attacco attivo che sfruttino questa vulnerabilità. Ma attenzione: nel ciclo di vita di una CVE, il periodo tra divulgazione e weaponization è spesso molto breve.
L’interesse della community cybercriminale cresce proporzionalmente alla disponibilità di PoC (Proof of Concept) pubblici. E considerando che l’exploit è banale da riprodurre con pochi script Python o tramite strumenti HTTP/2 test harness, è probabile che entro poche settimane CVE-2025-53506 entrerà nei toolkit DoS di attori malevoli – soprattutto nei contesti hacktivisti o per attacchi distruttivi mirati.
Se gestite infrastrutture esposte su internet (pensiamo a portali, API gateway, backend RESTful), e avete HTTP/2 attivo su Tomcat, agite ora. Le azioni possibili:
La vulnerabilità è mappata come CWE-400 (Uncontrolled Resource Consumption), un classico intramontabile nei test di resilienza che torna ciclicamente in nuove forme.
Questo caso rappresenta l’ennesima conferma che la sicurezza non è solo una questione di “exploit” ma anche di design. Quando un protocollo così diffuso come HTTP/2 permette un attacco DoS “by design” in assenza di controlli puntuali, è evidente che la resilienza dell’infrastruttura dipende da ogni singolo dettaglio: timeout, acknowledgment, stream limits. Ogni bit conta.
Grazie ad Apache per la risposta veloce. Ma ora tocca a chi amministra, patcha, monitora e difende. E possibilmente… dorme sereno.
Sandro SanaGli hacker prendono sempre più di mira i backup , non i sistemi o i server, ma i dati che le aziende conservano per un periodo di tempo limitato, in modo da potersi riprendere in caso di attacchi. Un...
Sabato 20 settembre 2025 un attacco informatico ha colpito un fornitore di servizi utilizzati da diversi aeroporti europei, tra cui Bruxelles, Berlino e Londra-Heathrow. L’incidente ha causato notev...
Un disegno di legge volto a potenziare la presenza delle Forze Armate nello spazio cibernetico è stato sottoposto all’esame della Camera. Il provvedimento, sostenuto dal presidente della Commission...
Due ragazzi militanti nel gruppo Scattered Spider sono stati incriminati nell’ambito delle indagini della National Crime Agency su un attacco informatico a Transport for London (TfL). Il 31 agosto 2...
Avevamo già parlato della proposta di regolamento “ChatControl” quasi due anni fa, ma vista la roadmap che è in atto ci troviamo nell’imbarazzo di doverne parlare nuovamente. Sembra però un d...
