Aggiornamenti recenti Agosto 29th, 2025 5:25 PM
Lug 01, 2019 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Nove vulnerabilità (due classificate come elevate e sette come medie) nei software utilizzati da Lenovo avrebbero potuto mettere a rischio sia le funzionalità dei sistemi dell’azienda cinese, sia i dati conservati al loro interno.
A spiegarlo sono i ricercatori di Swascan, azienda italiana di cyber-security che in un comunicato sul suo sito spiega che la segnalazione delle falle di sicurezza ha permesso a Lenovo di realizzare gli aggiornamenti che hanno corretto i problemi.
Nel dettaglio, le vulnerabilità (nel comunicato ne vengono descritte in maniera approfondita solo sei) avrebbero potuto essere sfruttate per provocare DoS o addirittura avviare l’esecuzione di codice in remoto. Le descrizioni fornite attraverso l’identificativo CWE (Common Weakness Enumeration) da Swascan sono le seguenti:
CWE-476: Una de-referenza del puntatore NULL si verifica quando l’applicazione de-referenzia un puntatore che si aspetta di essere valido, ma è NULL, causando tipicamente un incidente o un’uscita.
CWE-119: Il software esegue operazioni su un buffer di memoria, ma può leggere o scrivere in una posizione di memoria che si trova al di fuori del confine previsto del buffer. Se la memoria accessibile dall’attaccante può essere efficacemente controllata, può essere possibile eseguire codice arbitrario, come nel caso di un buffer overflow standard. Se l’attaccante può sovrascrivere la memoria di un puntatore (di solito 32 o 64 bit), sarà in grado di reindirizzare un puntatore di funzione al proprio codice dannoso. Anche quando l’attaccante può modificare solo un singolo byte, l’esecuzione arbitraria del codice è possibile. A volte questo è dovuto al fatto che lo stesso problema può essere sfruttato ripetutamente con lo stesso effetto. Altre volte è perché l’aggressore può sovrascrivere dati critici per la sicurezza specifici di un’applicazione – come un flag che indica se l’utente è un amministratore.
CWE-416: Fare riferimento alla memoria dopo che è stata liberata può causare l’arresto anomalo di un programma, utilizzare valori imprevisti o eseguire codice estraneo.
CWE – 78: Il software costruisce tutto o parte di un comando OS utilizzando input influenzato dall’esterno da un componente a monte, ma non neutralizza o neutralizza in modo errato elementi speciali che potrebbero modificare il comando OS previsto quando viene inviato a un componente a valle.
CWE-20: Il prodotto non convalida o convalida erroneamente gli input che possono influenzare il flusso di controllo o il flusso di dati di un programma. Quando il software non convalida correttamente l’input, un aggressore è in grado di crearne in una forma che non è prevista dal resto dell’applicazione. Questo porterà parti del sistema a ricevere input non intenzionali, che possono comportare un flusso di controllo alterato, un controllo arbitrario di una risorsa o un’esecuzione arbitraria del codice.
CWE-287: Quando un attore dichiara di avere una determinata identità, il software non prova o prova in modo insufficiente che la dichiarazione è corretta. Questo può essere il risultato delle vulnerabilità da SQL injection e di altri problemi.
Insomma: una serie di bug che, se utilizzati in maniera combinata o anche singolarmente da un pirata informatico, avrebbero potuto provocare grossi guai.
Ora la situazione è sotto controllo e, a quanto si legge sulle pagine del sito Internet di Swascan, quella con Lenovo sembra essere stata proprio una collaborazione esemplare.
“L’attenzione che Lenovo ha dimostrato verso le nostre scoperte, unitamente agli scambi di e-mail, le valutazioni, le attività di remediation e i tempi di risoluzione sono stati tra i più seri, professionali e trasparenti che abbiamo potuto testimoniare nelle nostre carriere: complimenti agli esperti di security, i reverse engineer e i programmatori che lavorano a Lenovo” scrivono i fondatori della società di sicurezza Pierguido Iezzi e Raoul Chiesa.
Feb 15, 2024 0
Giu 27, 2023 0
Feb 23, 2023 0
Lug 15, 2022 0
Ago 29, 2025 0
Ago 27, 2025 0
Ago 26, 2025 0
Ago 25, 2025 0
Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 04, 2025 0
I chatbot basati su modelli linguistici di grandi...Lug 29, 2025 0
Tra le minacce più recenti che stanno facendo tremare il...Lug 17, 2025 0
Gli attacchi DDoS, compresi quelli ipervolumetrici,...Gen 29, 2025 0
Con l’avvento dell’IA generativa...Ott 09, 2024 0
Negli ultimi anni sempre più aziende stanno sottoscrivendo...Ott 02, 2024 0
Grazie al machine learning, il Global Research and Analysis...Set 30, 2024 0
Il 2024 è l’anno delle nuove normative di sicurezza:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Ago 29, 2025 0
Il prossimo 14 ottobre terminerà ufficialmente il supporto...Ago 27, 2025 0
Google ha deciso di aumentare la sicurezza dei dispositivi...Ago 26, 2025 0
Il mondo dell’IoT rimane uno dei più esposti alle...Ago 25, 2025 0
Il gruppo pakistano APT36, noto anche come Transparent...Ago 25, 2025 0
La scorsa settimana il CERT-AGID ha rilevato 81 campagne...