CISA e AWS: allarme per Zimbra, sandbox Node.js e servizi cloud

In sintesi

• CISA conferma lo sfruttamento della falla CVE-2026-73570 contro i server Zimbra precedenti alla versione 10.1.20.
• Una type confusion in isolated-vm permette al codice JavaScript confinato di attaccare il processo Node.js che ospita la sandbox.
• AWS corregge vulnerabilità in OpenSearch Dashboards, FreeRTOS-Kernel e nel connettore Athena Federated Query per Neptune.

Un server di posta, una sandbox JavaScript, una piattaforma di osservabilità, un kernel embedded e un connettore cloud mostrano lo stesso problema: i dati provenienti da un ambiente meno affidabile riescono a raggiungere componenti privilegiati. CISA ha confermato lo sfruttamento attivo di una command injection in Zimbra Collaboration Suite, mentre isolated-vm corregge una vulnerabilità capace di superare il confine tra codice guest e processo Node.js. AWS interviene parallelamente su OpenSearch Dashboards, FreeRTOS-Kernel e Athena Federated Query. Le vulnerabilità non hanno la stessa urgenza: Zimbra richiede una risposta immediata perché gli attacchi sono già in corso, mentre gli altri problemi devono essere ordinati considerando versioni, configurazioni abilitate e privilegi disponibili.

CISA inserisce la falla Zimbra nel catalogo KEV

La vulnerabilità più urgente è CVE-2026-73570, inserita nel Known Exploited Vulnerabilities Catalog dopo la conferma del suo utilizzo in attacchi reali. L’avviso pubblicato da CISA assegna alle agenzie federali civili una scadenza del 24 agosto 2026, segnalando una finestra di intervento particolarmente breve. La falla interessa Zimbra Collaboration Suite precedente alla versione 10.1.20 quando risulta installato il pacchetto opzionale zimbra-snmp e sono abilitate le notifiche SNMP. Un aggressore remoto e non autenticato può inviare richieste SMTP costruite appositamente e sfruttare la mancata sanificazione degli input per eseguire comandi del sistema operativo con l’identità dell’utente zimbra. Il vettore passa quindi attraverso il normale flusso della posta elettronica e non richiede necessariamente l’esposizione di una porta SNMP verso Internet. Gli advisory di sicurezza di Zimbra indicano la versione 10.1.20 come corretta, ma l’aggiornamento non esclude una compromissione precedente: i server rimasti vulnerabili devono essere sottoposti a controlli su processi, file creati dall’account di servizio, persistenza e modifiche applicate al sistema. Il rischio si inserisce in una superficie già colpita da attacchi contro Zimbra capaci di sottrarre email senza interazione. Il catalogo KEV come strumento di cyber-intelligence operativa chiarisce perché lo sfruttamento osservato debba prevalere sulla semplice comparazione dei punteggi: per CVE-2026-73570 occorre prima verificare l’esposizione, poi aggiornare e infine cercare eventuali indicatori di compromissione.

isolated-vm permette di superare il confine della sandbox

La vulnerabilità GHSA-864f-rcv7-6rh4 colpisce isolated-vm, libreria utilizzata per eseguire codice JavaScript non attendibile dentro V8 Isolate separati. L’advisory pubblicato nel repository del progetto descrive una type confusion nella gestione di ExternalCopy e dell’array transferList. Il componente attraversa due volte l’array: durante il primo passaggio controlla che ogni elemento sia un ArrayBuffer, mentre nel secondo recupera nuovamente i valori e applica un cast senza ripetere la verifica. Un getter JavaScript può restituire un buffer valido al primo accesso e un valore differente al secondo, inducendo il codice C++ a dereferenziare dati controllabili dall’attaccante. L’effetto minimo dimostrato è un crash affidabile del processo host, ma la primitiva può evolvere in dirottamento del flusso di controllo e potenziale esecuzione di codice nel processo Node.js. L’attacco è raggiungibile da un guest che possiede una sola ivm.Reference, meccanismo normalmente usato per concedere capacità limitate alla sandbox. Sono vulnerabili le versioni fino alla 7.0.0 inclusa, mentre le correzioni sono disponibili nelle release 7.0.1 e 6.2.0. La falla non compromette direttamente il modello di isolamento di V8: a cedere è il codice nativo che collega l’isolate al processo ospitante. Lo stesso principio è emerso nelle vulnerabilità che hanno coinvolto Cloudflare workerd, KVM e la separazione tra sandbox e host Linux. L’aggiornamento deve quindi essere accompagnato dalla riduzione dei privilegi del processo Node.js e dalla limitazione di filesystem, rete e credenziali raggiungibili in caso di evasione.

OpenSearch Dashboards corregge una RCE e uno stored XSS

AWS ha pubblicato due bollettini per vulnerabilità differenti nei plugin di OpenSearch Dashboards. CVE-2026-18420 è una prototype pollution nel Time Series Visual Builder che permette a un utente remoto autenticato, dotato di normali permessi sui dati, di inviare un payload JSON all’API delle visualizzazioni metriche ed eseguire codice sul server. Il bollettino AWS 2026-085 indica come vulnerabili le versioni dalla 3.0.0 alla 3.7.x e fissa la correzione nella 3.8.0; dove l’aggiornamento non può essere immediato, AWS raccomanda di disabilitare TSVB. CVE-2026-77811 interessa invece il plugin dashboards-observability: un utente autenticato con permessi di scrittura sugli oggetti salvati può caricare un’integrazione contenente JavaScript arbitrario e provocarne l’esecuzione nel browser di altri utenti. Il bollettino AWS 2026-088 indica come corrette le versioni 3.4 e 2.19.6 dei rispettivi rami open source, mentre Amazon OpenSearch Service ha ricevuto la correzione attraverso il software di servizio. La RCE nel plugin TSVB può compromettere direttamente il processo server; lo stored XSS richiede invece che una vittima apra il contenuto avvelenato, ma può colpire una sessione con privilegi superiori. Le recenti vulnerabilità nei plugin OpenSearch Alerting, Security Analytics e SQL confermano che ogni estensione deve essere inventariata e aggiornata come una componente autonoma, verificando anche ruoli assegnati e integrazioni personalizzate.

FreeRTOS-Kernel corregge quattro percorsi verso il contesto privilegiato

Il bollettino AWS 2026-086 raccoglie quattro vulnerabilità in FreeRTOS-Kernel precedenti alla versione 11.3.1, tutte dipendenti da funzionalità opzionali. CVE-2026-77234 consente a un task non privilegiato di abusare del percorso dei comandi dei software timer e raggiungere codice eseguito nel contesto del kernel, aggirando l’isolamento della Memory Protection Unit; sono interessate le configurazioni che combinano FreeRTOS MPU e software timer. CVE-2026-77235 riguarda la gestione dei secure context ARMv8-M TrustZone e può causare una use-after-free nella memoria Secure, mentre CVE-2026-77236 permette di richiedere uno stack troppo piccolo e provocare una scrittura fuori dai limiti nella heap del mondo Secure. CVE-2026-77237 deriva infine dall’assenza di una validazione sul tipo di handle aggiunto a un queue set e può esporre porzioni della memoria privilegiata all’applicazione. Tutti i problemi risultano corretti in FreeRTOS-Kernel 11.3.1, ma la remediation richiede l’identificazione della versione realmente incorporata nei firmware e delle opzioni utilizzate durante la compilazione. La semplice presenza di FreeRTOS nell’inventario non basta: MPU, timer software, TrustZone e queue set determinano quali dispositivi siano effettivamente esposti. Nei sistemi embedded, inoltre, la disponibilità della patch upstream deve ancora tradursi in un nuovo firmware distribuito e installabile sui prodotti finali.

Athena Federated Query espone proprietà della funzione Lambda

CVE-2026-77810 interessa il connettore Amazon Athena Federated Query per Amazon Neptune nelle versioni dalla v2024.15.1 alla v2026.28.1. Il bollettino AWS 2026-087 spiega che un utente già autorizzato a interrogare Neptune attraverso Athena può accedere a proprietà della funzione Lambda utilizzata dal connettore. La vulnerabilità non è sfruttabile senza autorizzazione iniziale, ma rompe la separazione tra il livello delle query e l’ambiente che fornisce la capacità di calcolo. La correzione è disponibile nella v2026.30.1; in alternativa, AWS suggerisce di disabilitare il query passthrough, restringere athena:StartQueryExecution sul catalogo Neptune o consentire soltanto query compatibili con Gremlin, openCypher e SPARQL. Le precedenti patch AWS dedicate ad Athena, Firecracker e agli strumenti di sviluppo mostrano come i connettori Lambda debbano essere considerati parte integrante della superficie di sicurezza del servizio. La priorità dipende quindi dall’unione tra versione vulnerabile, passthrough abilitato e ampiezza delle policy IAM. Zimbra resta il primo intervento per lo sfruttamento già confermato, seguito da isolated-vm negli ambienti che eseguono codice non attendibile; OpenSearch, FreeRTOS e Athena devono invece essere ordinati sulla base delle funzionalità realmente utilizzate e dei privilegi concessi.