Tech
Vulnerabilità TLStorm 2.0, switch di rete a rischio attacco
Tempo di lettura: 3 minuti. Le vulnerabilità deriverebbero da un difetto di progettazione simile a quello già identificato nelle vulnerabilità TLStorm espandendone la portata
I ricercatori Armis hanno scoperto diverse vulnerabilità nell’implementazione delle comunicazioni TLS in diversi modelli di switch di rete Aruba e Avaya.
Le vulnerabilità deriverebbero da un difetto di progettazione simile a quello identificato nelle vulnerabilità TLStorm (scoperte all’inizio di quest’anno dallo stesso team di sicurezza) espandendone la portata.
TLStorm, lo ricordiamo comprendeva una serie di vulnerabilità critiche nei dispositivi APC Smart-UPS che consentivano a un utente malintenzionato di assumere il controllo dei dispositivi Smart-UPS da Internet senza l’interazione dell’utente riuscendo addirittura a fare incendiare gli stessi dispositivi. La causa principale di queste vulnerabilità nell’implementazione TLS erano i difetti nella libreria NanoSSL, una suite SSL closed-source del fornitore di sicurezza informatica IoT Mocana ora acquisito da DigiCert.
I difetti di NanoSSL e l’uso improprio della libreria vulnerabile come detto impatterebbero in modo particolare anche sugli switch di rete Aruba e Avaya.
I dispositivi interessati
Aruba
- Serie Aruba 5400R
- Serie Aruba 3810
- Serie Aruba 2920
- Serie Aruba 2930F
- Serie Aruba 2930M
- Serie Aruba 2530
- Serie Aruba 2540
Avaya
- Serie ERS3500
- Serie ERS3600
- Serie ERS4900
- Serie ERS5900
Le vulnerabilità TLStorm 2.0
Aruba
- CVE-2022-23677 (punteggio CVSS 9,0) – Uso improprio di NanoSSL su interfacce multiple (RCE);
- CVE-2022-23676 (punteggio CVSS 9,1) – Vulnerabilità di danneggiamento della memoria del client RADIUS.
Avaya
- CVE-2022-29860 (punteggio CVSS 9,8) – Overflow dell’heap di riassemblaggio TLS;
- CVE-2022-29861 (punteggio CVSS 9,8) – Overflow dello stack di analisi dell’intestazione http.
I possibili scenari TLStorm 2.0
Questa nuova serie di vulnerabilità, denominata TLStorm 2.0, potrebbe consentire a un utente malintenzionato di assumere il pieno controllo (RCE) di questi switch, causando:
- La rottura della segmentazione della rete, consentendo il movimento laterale con la modifica del comportamento dello switch;
- L’esfiltrazione di dati del traffico di rete aziendale o di informazioni sensibili dalla rete interna verso Internet;
- il captive portal escape.
Pertanto secondo gli analisti i risultati della ricerca evidenzierebbero che essendo a rischio l’infrastruttura di rete stessa, la sola segmentazione non sarebbe più sufficiente come misura di sicurezza.
Gli attaccanti possono ottenere RCE tramite lo switch e connettersi liberamente alla rete aziendale
Spesso gli utenti, per connettersi alla rete, devono prima passare attraverso un captive portal ovvero una pagina di accesso per l’autenticazione prima che venga loro concesso un accesso a Internet o alla rete aziendale interna.
Utilizzando le vulnerabilità di TLStorm 2.0, un utente malintenzionato potrebbe abusare del captive portal e ottenere l’esecuzione di codice in modalità remota tramite lo switch senza la necessità di autenticazione, disabilitando completamente il captive portal e connettendosi liberamente alla rete aziendale.
I ricercatori di Armis hannno pubblicato un video dimostrativo al riguardo.
Gli attaccanti possono utilizzare un punto d’appoggio in una VLAN guest per assumere il controllo dello switch principale e ottenere l’accesso alla VLAN aziendale
In questo scenario, un utente malintenzionato potrebbe invece utilizzare le vulnerabilità di TLStorm 2.0 per interrompere la segmentazione della rete comunemente utilizzata come livello di sicurezza per le reti aziendali.
Utilizzando le vulnerabilità di TLStorm 2.0, un utente malintenzionato sarebbe in grado di assumere il controllo dello switch principale e passare dalla VLAN guest alla VLAN aziendale.
Possibili soluzioni di mitigazione
Come visto le implicazioni legate alle vulnerabilità TLStorm 2.0 oltre che variare in base alle configurazioni di segmentazione della rete possono essere mitigate con soluzioni specifiche secondo modello e fornitore.
Pertanto Barak Hadad Head of Research in Engineering di Armis suggerisce di provvedere ad applicare le patch dei vari dispositivi interessati facendo riferimento rispettivamente ai portali di supporto Aruba e Avaya e conclude:
“Oltre alle mitigazioni specifiche del fornitore, è possibile applicare più livelli di protezione della rete per mitigare il rischio per le vulnerabilità di TLStorm:
Monitoraggio della rete: ricerca di tentativi di exploit attivi o anomalie di rete che implicano la presenza di un utente malintenzionato.
Limita la superficie di attacco: blocca l’esposizione del portale di gestione alle porte della rete guest o limitala solo a una porta di gestione dedicata“
Smartphone
TECNO CAMON 30 Series promette Android 16
Tempo di lettura: 2 minuti. La serie TECNO CAMON 30 offre tre anni di aggiornamenti Android e patch di sicurezza, garantendo prestazioni avanzate e sicurezza duratura.
TECNO ha annunciato che la sua serie CAMON 30 riceverà tre anni di aggiornamenti del sistema operativo Android, fino ad Android 16, e tre anni di supporto per le patch di sicurezza. Questo impegno non solo estende la durata utile dei dispositivi, ma garantisce anche che gli utenti beneficeranno delle ultime protezioni tecniche e aggiornamenti di sicurezza per anni a venire.
Dettagli sull’aggiornamento e caratteristiche del CAMON 30
La serie CAMON 30 è stata lanciata a livello globale nell’aprile 2024 come uno smartphone di punta per l’imaging, rispecchiando la filosofia di design di TECNO che combina capacità fotografiche professionali con un’estetica elegante. Il modello di punta, il CAMON 30 Premier 5G, si distingue per l’aggiornamento significativo nel campo dell’imaging con doppio chip, tra cui il chip di imaging Sony CXD5622GG, e quattro lenti da 50MP, tra cui una camera principale Sony IMX890 50MP OIS.
Oltre alle capacità fotografiche, la serie CAMON 30 sfrutta l’intelligenza artificiale per migliorare l’esperienza utente e offre prestazioni di livello superiore grazie alla combinazione di hardware avanzato e un impegno costante nel miglioramento del software.
Innovazioni software e esperienza utente
TECNO è anche tra i primi produttori di smartphone a offrire la versione beta di Android 15, che sarà disponibile sul CAMON 30 Pro 5G. Questo aggiornamento porterà una serie di miglioramenti e potenziamenti che eleveranno ulteriormente l’esperienza complessiva dell’utente.
Impegno di TECNO verso l’innovazione
TECNO, con operazioni in oltre 70 paesi e regioni, continua a rivoluzionare l’esperienza digitale nei mercati globali emergenti, spingendo per l’integrazione perfetta di design contemporaneo e tecnologie all’avanguardia. Guidata dal motto “Stop At Nothing”, TECNO si impegna a sbloccare le migliori e più nuove tecnologie per individui con uno sguardo al futuro, ispirando i consumatori di tutto il mondo a non smettere mai di perseguire il meglio di sé e un futuro migliore.
Tech
Huawei lancia il WATCH FIT 3 e il Vision Smart Screen 4
Tempo di lettura: 3 minuti. Huawei introduce il nuovo Watch Fit 3 e la serie Vision Smart Screen 4, offrendo avanzate tecnologie per fitness e intrattenimento domestico.
Huawei ha introdotto nuovi dispositivi nell’ambito della sua conferenza estiva di lancio di nuovi prodotti, evidenziando il suo impegno nell’innovazione e nell’espansione della gamma di dispositivi intelligenti disponibili per i consumatori.
Huawei WATCH FIT 3: Un salto evolutivo nel fitness
Il nuovo Huawei Watch Fit 3 rappresenta una significativa evoluzione del design rispetto ai modelli precedenti, con un corpo in lega di alluminio sottile e leggero e un display AMOLED rettangolare arrotondato da 1.82 pollici.
Questo smartwatch non solo è esteticamente gradevole con una corona rotante metallica che aggiunge un tocco di classe, ma è anche funzionalmente robusto con oltre 100 modalità di esercizio e rilevamento automatico delle attività fisiche.
Il sistema di monitoraggio del battito cardiaco TruSeen 5.5 di Huawei e la nuova capacità di rilevamento dell’ossigeno nel sangue arricchiscono le funzionalità di salute dell’orologio. Con una durata della batteria fino a 10 giorni e opzioni di connettività avanzate, il Watch Fit 3 è posizionato come un compagno ideale per fitness e salute quotidiana.
Huawei Vision Smart Screen 4: Innovazione nei TV intelligenti
Parallelamente, Huawei ha rilasciato la sua nuova serie di smart TV, la Vision Smart Screen 4, che include i modelli Vision Smart Screen 4 e 4 SE. Queste TV sono progettate per arricchire le esperienze personali e familiari, offrendo un’esperienza utente premium con funzionalità come il controllo remoto Link Pointing che permette un’interazione intuitiva simile a quella degli smartphone.
Il modello Vision Smart Screen 4 offre mirroring 4K superiore, supporto per l’esecuzione diretta di milioni di applicazioni mobili e una camera AI super-sensibile che supporta funzionalità come il riconoscimento della postura seduta dei bambini e il tracciamento del ritratto nelle videochiamate Changlian.
Disponibilità e Prezzi
Il Huawei Watch Fit 3 è disponibile su Amazon in sei opzioni di colore e due varianti di cinturino, con prezzi che partono da 999 yuan ($138) per il modello in fluororubber e 1,199 yuan ($277) per quello in pelle.
La serie Vision Smart Screen 4 offre diversi modelli con prezzi variabili a seconda delle dimensioni e delle specifiche, rendendola accessibile a una vasta gamma di consumatori alla ricerca di un’esperienza televisiva intelligente avanzata. In conclusione, con il lancio di questi dispositivi, Huawei non solo rafforza la sua presenza nel mercato degli smartwatch e delle smart TV, ma stabilisce anche nuovi standard di innovazione e qualità che beneficiano gli utenti finali con tecnologie all’avanguardia e design intuitivi.
Smartphone
Aggiornamenti Android 15 per Nothing Phone (2a) e Realme 12 Pro+
Tempo di lettura: 2 minuti. Scopri come installare l’aggiornamento Android 15 beta su Nothing Phone (2a) e Realme 12 Pro+, inclusi i dettagli sui problemi noti e le precauzioni necessarie.
Google ha rilasciato l’aggiornamento Android 15 in versione beta per Nothing Phone (2a) e Realme 12 Pro+, con alcune limitazioni regionali e note di cautela per i tester.
Aggiornamento Android 15 Beta per Realme 12 Pro+
L’aggiornamento Android 15 per il Realme 12 Pro+, scoprilo su Amazon, è attualmente disponibile solo per gli utenti in India. Questo aggiornamento beta potrebbe presentare problemi come la mancanza di alcune funzionalità di sistema e app non funzionanti. Realme consiglia di eseguire un backup completo dei dati prima di procedere con l’aggiornamento, dato che il processo cancellerà tutti i dati esistenti. Gli utenti al di fuori dell’India sono avvisati di non installare questa versione beta per evitare malfunzionamenti.
Aggiornamento Android 15 Beta per Nothing Phone (2a)
Per quanto riguarda il Nothing Phone (2a), scoprilo su Amazon, questo è l’unico dispositivo della linea Nothing che riceverà l’aggiornamento Android 15 per ora. L’aggiornamento può essere installato tramite sideload, scaricabile qui. Gli utenti devono essere attenti in quanto l’aggiornamento cancellerà tutti i dati e presenta alcuni problemi noti, come l’impossibilità di registrare impronte digitali e il malfunzionamento del face unlock. Inoltre, alcune app e widget predefiniti non saranno disponibili nel primo build.
Per aggiornare, gli utenti devono copiare il pacchetto di aggiornamento in una cartella chiamata “ota” nella memoria interna del dispositivo e avviare l’aggiornamento tramite un codice speciale nel dialer del telefono. Nothing offre anche l’opzione per tornare alla versione stabile corrente del sistema operativo, se necessario.
Questi aggiornamenti rappresentano passi importanti per entrambi i dispositivi, Phone 2a e realme 12 pro+, in termini di accesso alle nuove funzionalità e miglioramenti di sicurezza offerti da Android 15, sebbene con l’avvertenza che come beta possono presentare instabilità e problemi, e sottolineano l’importanza di testare accuratamente le versioni beta e di seguire attentamente le istruzioni fornite per minimizzare eventuali inconvenienti. Gli utenti sono incoraggiati ad eseguire backup completi e a prepararsi per possibili interruzioni dato che le versioni beta possono contenere errori non ancora risolti.
- Editoriali2 settimane fa
Chip e smartphone cinesi ci avvisano del declino Occidentale
- Inchieste2 settimane fa
Ransomware in Italia: come cambia la percezione del fenomeno nell’IT
- Economia2 settimane fa
Internet via satellite: progetto europeo IRIS² in grande difficoltà
- Editoriali1 settimana fa
Anche su Giovanna Pedretti avevamo ragione
- L'Altra Bolla1 settimana fa
Jack Dorsey getta la spugna e lascia Bluesky
- Inchieste1 settimana fa
Perchè il motore di ricerca OpenAI fa paura ai giornalisti?
- L'Altra Bolla1 settimana fa
Meta arriva l’intelligenza artificiale per la Pubblicità
- Smartphone1 settimana fa
Richiesta di Class Action contro Samsung per il Galaxy S24 Ultra