La sicurezza informatica è una preoccupazione crescente, con aziende come GitLab e Ivanti che affrontano vulnerabilità critiche nei loro software ed allo stesso tempo, attacchi mirati contro sviluppatori Python stanno prendendo piede, con gravi conseguenze per la comunità di programmatori. Di seguito, esaminiamo tre casi recenti che evidenziano l’importanza di aggiornamenti di sicurezza e la necessità di proteggere i propri sistemi da attacchi malevoli.

GitLab: vulnerabilità critica nella pipeline di esecuzione

GitLab ha recentemente rilasciato aggiornamenti critici per risolvere una serie di vulnerabilità, la più grave delle quali (CVE-2024-6678) consente a un attaccante di eseguire pipeline come utenti arbitrari in determinate condizioni. Con un punteggio di gravità di 9,9, questa vulnerabilità potrebbe permettere l’esecuzione di azioni di arresto dell’ambiente da remoto, senza l’interazione dell’utente. GitLab ha risolto il problema nelle versioni 17.3.2, 17.2.5 e 17.1.7 per le edizioni Community ed Enterprise, coprendo anche altre 18 vulnerabilità meno gravi.

Questo difetto è particolarmente preoccupante a causa del suo potenziale di sfruttamento remoto e del basso livello di privilegi richiesto. Le pipeline di GitLab sono flussi di lavoro automatizzati utilizzati per compilare, testare e distribuire codice, ed eventuali manipolazioni potrebbero compromettere seriamente l’integrità dei progetti. Per proteggere i sistemi, GitLab raccomanda l’aggiornamento immediato a una versione più recente.

Sviluppatori Python presi di mira con falsi test di codifica

Il gruppo APT nordcoreano Lazarus è stato coinvolto in una campagna di attacchi mirati contro sviluppatori Python. Fingendo di essere reclutatori, gli attaccanti hanno distribuito test di codifica che includono un software di gestione password infetto da malware. Questo attacco, parte della campagna VMConnect, mira a sviluppatori software invitandoli a eseguire progetti Python dannosi distribuiti tramite GitHub.

Le istruzioni fornite includono l’esecuzione di un file denominato “PasswordManager.py“, il quale attiva un modulo obfuscato in base64 nascosto nei file di inizializzazione di librerie come “pyperclip” e “pyrebase”. Una volta eseguito, il malware si connette a un server di comando e controllo, permettendo agli attaccanti di eseguire ulteriori payload.

Gli sviluppatori devono prestare particolare attenzione a questi tipi di test, verificando la legittimità delle richieste e utilizzando ambienti sicuri come macchine virtuali come consigliato da ReverseLab.

Ivanti risolve una vulnerabilità RCE massima gravità

Ivanti ha corretto una vulnerabilità critica (CVE-2024-29847) nel suo software Endpoint Management (EPM), che potrebbe consentire ad attaccanti non autenticati di eseguire codice da remoto sul server centrale. La vulnerabilità deriva da una debolezza nella deserializzazione di dati non affidabili all’interno del portale dell’agente EPM, e può portare a un accesso non autorizzato al server principale. Ivanti ha risolto il problema con aggiornamenti di sicurezza rilasciati per EPM 2024 e per l’aggiornamento di servizio 6 di EPM 2022.

Nonostante la gravità della vulnerabilità, al momento della divulgazione Ivanti ha dichiarato di non essere a conoscenza di sfruttamenti in atto. Tuttavia, la società continua a migliorare i suoi processi di sicurezza, aumentando le capacità di scansione interna e la divulgazione responsabile delle vulnerabilità per evitare futuri exploit.

Protezione efficace contro minacce critiche

Le vulnerabilità descritte, sia in GitLab che in Ivanti, dimostrano la necessità di aggiornamenti tempestivi e l’importanza di testare i codici in ambienti sicuri e fare attenzione a programmi python non autorizzati. Gli sviluppatori e i team IT devono rimanere vigili contro attacchi sofisticati come quelli orchestrati da gruppi come Lazarus, che sfruttano test di codifica per introdurre malware.

Cisco ha recentemente pubblicato una serie di avvisi di sicurezza riguardanti vulnerabilità critiche nei loro prodotti, in particolare nel sistema operativo IOS XR. Questi avvisi evidenziano potenziali rischi di sicurezza che potrebbero portare a escalation di privilegi, denial of service (DoS) e altri tipi di attacchi. Di seguito una panoramica delle vulnerabilità e delle possibili conseguenze:

1. Cisco NSO Auth Bypass Vulnerability
   • Questo avviso riguarda una vulnerabilità che permette a un attaccante di bypassare l’autenticazione e ottenere privilegi elevati in Cisco Network Services Orchestrator (NSO). La vulnerabilità può essere sfruttata tramite una gestione web non sicura.
   • Link alla vulnerabilità
2. Cisco IOS XR Software Network Convergence System DoS Vulnerability
   • Questa vulnerabilità consente a un attaccante remoto di causare un Denial of Service su dispositivi che eseguono il software Cisco IOS XR. L’attacco sfrutta la gestione dei servizi di rete.
   • Link alla vulnerabilità
3. Cisco IOS XR Software IS-IS Denial of Service Vulnerability
   • Questa vulnerabilità riguarda il routing segmentato per IS-IS (Intermediate System-to-Intermediate System) che può portare a un DoS, interrompendo il traffico di rete.
   • Link alla vulnerabilità
4. Cisco IOS XR Software Dedicated XML Agent TCP DoS Vulnerability
   • Un attaccante potrebbe sfruttare una debolezza nel gestore XML di Cisco IOS XR per causare un DoS inviando richieste TCP appositamente create.
   • Link alla vulnerabilità
5. Cisco IOS XR Software CLI Arbitrary File Read Vulnerability
   • Questa vulnerabilità permette a un attaccante di utilizzare l’interfaccia CLI per leggere file arbitrari nel sistema, con il rischio di esposizione di dati sensibili.
   • Link alla vulnerabilità
6. Cisco IOS XR Software CLI Privilege Escalation Vulnerability
   • Un bug che consente a un utente con accesso limitato di ottenere privilegi di root sul sistema.
   • Link alla vulnerabilità
7. Cisco Routed Passive Optical Network Controller Vulnerabilities
   • Questa vulnerabilità riguarda il controller di rete passiva ottica (PON), che può essere sfruttata per accedere a funzionalità non autorizzate.
   • Link alla vulnerabilità
8. Cisco IOS XR Software UDP Packet Memory Exhaustion Vulnerability
   • Un attaccante può causare l’esaurimento della memoria tramite pacchetti UDP, portando a un potenziale DoS.
   • Link alla vulnerabilità

Le vulnerabilità descritte rappresentano una minaccia significativa per i sistemi non aggiornati. Si consiglia di seguire le istruzioni di Cisco per aggiornare il software e mitigare i rischi.

Negli ultimi aggiornamenti, Microsoft ha risolto importanti problemi legati a Windows Server e una vulnerabilità zero-day che era stata sfruttata da attori malevoli dal 2018.

Problemi di prestazioni su Windows Server risolti con aggiornamento di settembre 2024

Microsoft ha rilasciato l’aggiornamento cumulativo KB5043050 per risolvere i problemi di prestazioni e blocchi che affliggevano Windows Server 2019 in seguito agli aggiornamenti di sicurezza di agosto 2024. Questi problemi includevano il rallentamento del sistema, utilizzo eccessivo della CPU e blocchi durante il boot del server, specialmente in presenza di software antivirus che eseguivano scansioni su file di sistema. Gli amministratori di sistema avevano segnalato che il processo di Antimalware Service Executable era collegato a questi problemi, causando un utilizzo anomalo delle risorse.

Microsoft ha risolto il problema con l’aggiornamento rilasciato a settembre, raccomandando l’installazione del pacchetto cumulativo più recente. Per gli amministratori che non possono implementare immediatamente l’aggiornamento, è stato reso disponibile un criterio di rollback tramite Group Policy, che può essere applicato per mitigare temporaneamente il problema.

Vulnerabilità zero-day in Windows Smart App Control sfruttata dal 2018

Microsoft ha anche risolto una vulnerabilità critica, tracciata come CVE-2024-38217, che permetteva agli attaccanti di bypassare le protezioni di Smart App Control e SmartScreen. Questa vulnerabilità consentiva di eseguire file dannosi senza attivare avvisi di sicurezza come il Mark of the Web (MotW), una protezione essenziale per bloccare esecuzioni di file sospetti.

Sfruttata attraverso una tecnica nota come LNK stomping, la vulnerabilità consentiva agli attori malevoli di manipolare i file LNK (scorciatoie di Windows) in modo che Windows Explorer aggiornasse automaticamente il file, rimuovendo il marchio di sicurezza MotW e consentendo l’esecuzione del file dannoso. Elastic Security Labs ha rivelato che questa vulnerabilità è stata sfruttata attivamente dal 2018 e ha fornito esempi di attacchi documentati su VirusTotal.

La correzione di Microsoft per questa vulnerabilità è stata inclusa negli aggiornamenti di settembre, garantendo che Windows Smart App Control e SmartScreen funzionino correttamente per bloccare l’esecuzione di file potenzialmente pericolosi.

Gli aggiornamenti di settembre di Microsoft non solo risolvono gravi problemi di prestazioni sui Windows Server, ma proteggono anche i sistemi da una vulnerabilità zero-day sfruttata per anni. Gli amministratori di sistema sono incoraggiati a implementare immediatamente gli aggiornamenti per evitare ulteriori problemi di sicurezza e prestazioni.