Aggiornamenti recenti Marzo 31st, 2020 12:13 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Bufera su Zoom e Houseparty, ma non c’è niente di vero
- Gruppi hacker sconosciuti all’attacco dei dispositivi DrayTek
- Il malware arriva per posta… in una chiavetta USB!
- Cyber-spionaggio: attacco in grande stile del gruppo cinese APT41
- TrickMo aggira l’autenticazione a due fattori con un’app Android
Falla nell’autenticazione di libshh: basta dirgli “sono già loggato”
La vulnerabilità della libreria open source consente di saltare completamente l’inserimento delle credenziali inviando un comando specifico.
Si chiama libssh ed è uno di quei componenti che non attira troppo l’attenzione, ma che è presente in numerosi sistemi. Si tratta, nel dettaglio, di una libreria multipiattaforma che permette di implementare il protocollo SSHv2 per sistemi client e server.
Detto in parole povere: è quella che consente le comunicazioni (teoricamente) sicure tra due computer a livello di applicazione. Qualsiasi falla di sicurezza al suo interno, quindi, rischia di avere ripercussioni decisamente pesanti.
Quella scoperta dagli sviluppatori del progetto questa settimana, però, ha davvero del clamoroso. Si tratta di un bug (CVE-2018-10933) nella procedura di autenticazione che consente di bypassare completamente la fase di autenticazione.
Teoricamente, questa dovrebbe avviarsi in seguito a un messaggio del tipo SSH2_MSG_USERAUTH_REQUEST. Se al server viene invece inviato il messaggio SSH2_MSG_USERAUTH_SUCCESS, libshh lo prende per buono e consente l’accesso senza autenticazione.
Insomma: è come se presentandoci davanti a una porta chiusa ci venisse chiesto “parola d’ordine!” e noi rispondessimo “te l’ho già detta”.
La falla, che sarebbe presente in libshh dalla versione 0.6, è stata corretta e la comunicazione è stata data attraverso questo annuncio sul sito ufficiale del progetto. Le versioni aggiornate sono la 0.8.4 e la 0.7.6.
Condividi l'articolo
Attacco a 800 siti attraverso uno script abbandonato
USA: cyber-attacco al sistema idrico subito dopo l’uragano
Articoli correlati
Altro in questa categoria
Sicurezza Gestita: servizio enterprise a una frazione del costo
Approfondimenti
-
Vulnerability Management, cos’è e come implementarlo Quando si tratta di verificare l’esposizione ad attacchi... -
La “nuova normalità” della security secondo Trend Il rapporto della società di sicurezza fa il punto sul... -
Lutech: “ecco il nostro SOC di nuova generazione” L’azienda milanese inaugura il suo nuovo Security... -
Alero: la sicurezza passa dal controllo “forte” sugli... La soluzione CyberArk mette in campo controlli biometrici... -
Il SIEM cresce e sfocia in altri servizi Sviluppare un SIEM efficace al giorno d’oggi...
Minacce recenti
Off topic
-
Maythefourth: La caduta dell’Impero Galattico è... E se vi dicessimo che la saga di Star Wars ... -
Gli hacker e il cinema: i dieci migliori film secondo... Abbiamo rubato al blog di Kaspersky un vecchio pezzo di... -
Campione di scacchi blinda il PC. “Paura degli hacker” Il numero uno degli scacchi mondiali Magnus Carlsen ha... -
L’autore di fsociety pensa di essere Mr. Robot, ma è un... Il pirata informatico che ha creato il ransomware cerca... -
Yahoo sospende l’inoltro delle email. Paura di un esodo... Dopo la raffica di figuracce, l’azienda sospende per...
Post recenti
-
Bufera su Zoom e Houseparty, ma non c’è niente di vero Presunte violazioni della privacy per Zoom. L’app di Epic... -
Gruppi hacker sconosciuti all’attacco dei dispositivi... I due gruppi APT stanno sfruttando delle vulnerabilità... -
Il malware arriva per posta… in una chiavetta USB! Il bizzarro attacco ha preso di mira una struttura... -
Cyber-spionaggio: attacco in grande stile del gruppo cinese... I pirati hanno sfruttato vulnerabilità nei sistemi Cisco,... -
TrickMo aggira l’autenticazione a due fattori con... Gli autori di TrickBot hanno diffuso un malware per...
Bufera su Zoom e Houseparty, ma non c’è niente di vero
Presunte violazioni della privacy per Zoom. L’app di Epic accusata... Continua →
Vocabolario della sicurezza
Guide alla sicurezza
Il futuro dell’autenticazione multi-fattore è hardware
Il superamento di username e password è una necessità. Ma...
DDoS e attacchi alle Web Application: le nuove sfide
Le tecniche di attacco sono in continua crescita ed evoluzione....
Credential Stuffing: i costi per le aziende e le contromisure
Uno studio del Ponemon Institute, condotto intervistando 569 IT manager...
I rischi di sicurezza nell’IoT e come porre un primo rimedio
Gli accessori connessi a Internet sono la nuova frontiera delle...
Guida completa a Instagram per genitori
Instagram è uno dei social network più conosciuti su internet....