Aggiornamenti recenti Maggio 21st, 2025 3:42 PM
Ott 18, 2018 Marco Schiaffino News, RSS, Vulnerabilità 0
Si chiama libssh ed è uno di quei componenti che non attira troppo l’attenzione, ma che è presente in numerosi sistemi. Si tratta, nel dettaglio, di una libreria multipiattaforma che permette di implementare il protocollo SSHv2 per sistemi client e server.
Detto in parole povere: è quella che consente le comunicazioni (teoricamente) sicure tra due computer a livello di applicazione. Qualsiasi falla di sicurezza al suo interno, quindi, rischia di avere ripercussioni decisamente pesanti.
Quella scoperta dagli sviluppatori del progetto questa settimana, però, ha davvero del clamoroso. Si tratta di un bug (CVE-2018-10933) nella procedura di autenticazione che consente di bypassare completamente la fase di autenticazione.
Teoricamente, questa dovrebbe avviarsi in seguito a un messaggio del tipo SSH2_MSG_USERAUTH_REQUEST. Se al server viene invece inviato il messaggio SSH2_MSG_USERAUTH_SUCCESS, libshh lo prende per buono e consente l’accesso senza autenticazione.
Insomma: è come se presentandoci davanti a una porta chiusa ci venisse chiesto “parola d’ordine!” e noi rispondessimo “te l’ho già detta”.
La falla, che sarebbe presente in libshh dalla versione 0.6, è stata corretta e la comunicazione è stata data attraverso questo annuncio sul sito ufficiale del progetto. Le versioni aggiornate sono la 0.8.4 e la 0.7.6.
Gen 28, 2025 0
Gen 15, 2025 0
Dic 12, 2024 0
Ott 18, 2024 0
Mag 21, 2025 0
Mag 20, 2025 0
Mag 19, 2025 0
Mag 19, 2025 0
Mag 21, 2025 0
I ricercatori di Aqua, firma di cybersecurity statunitense,...Mag 20, 2025 0
Ieri ESET ha pubblicato l’ultimo APT report relativo...Mag 19, 2025 0
Dopo tre giorni di intenso hacking si è conclusa Pwn2Own,...Mag 15, 2025 0
Il numero di attacchi DDoS e delle attività dei gruppi...Mag 14, 2025 0
Sono sempre di più gli attacchi automatizzati che...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 21, 2025 0
I ricercatori di Aqua, firma di cybersecurity statunitense,...Mag 20, 2025 0
Ieri ESET ha pubblicato l’ultimo APT report relativo...Mag 19, 2025 0
Dopo tre giorni di intenso hacking si è conclusa...Mag 19, 2025 0
Nel corso della settimana, il CERT-AGID ha identificato e...Mag 16, 2025 0
Una nuova minaccia si abbatte sugli Stati Uniti: secondo...