Aggiornamenti recenti Maggio 3rd, 2024 2:00 PM
Apr 24, 2020 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
In un primo momento qualcuno ha pensato che dalle parti di IBM avessero deciso di sposare la classica scusa usata in passato da altri colossi dell’informatica per sminuire l’impatto di una falla di sicurezza, ricorrendo al mantra “non è una vulnerabilità, è una feature”.
In realtà quello che è successo dalle parti di IBM è un classico pasticcio dovuto a una serie di errori di comunicazione, che hanno però portato a una situazione decisamente spinosa. Qualcosa di simile a ciò che è accaduto a Microsoft qualche tempo fa.
Protagonista della vicenda è Pedro Ribeiro, direttore del settore di ricerca di Agile Information Security. Il ricercatore ha individuato una serie di quattro vulnerabilità all’interno di IBM Data Risk Manager (IDRM), un tool che la società mette a disposizione dei suoi utenti per individuare e analizzare eventuali rischi nella gestione dei dati.
Le falle di sicurezza, nel dettaglio, riguarderebbero un sistema per aggirare l’autenticazione, un bug che consente l’iniezione di comandi, la presenza di una password predefinita e una vulnerabilità che consente di forzare il download di un file.
Vulnerabilità decisamente gravi, che se sfruttate (singolarmente o in sequenza) permetterebbero di portare attacchi ai sistemi che usano IDRM.
Quando Ribeiro ha contattato IBM per segnalare le falle (senza peraltro pretendere alcun compenso sulla base del programma bug bounty dell’azienda) si è sentito però rispondere che le vulnerabilità non venivano considerate perché riguardavano un prodotto “opzionale” dedicato al supporto dei sistemi IBM.
Una cantonata clamorosa, che il ricercatore ha sottolineato spiegando che le vulnerabilità in questione posso portare alla compromissione di tutti i sistemi collegati a IDRM.
A fronte della bizzara risposta dell’azienda, Ribeiro ha però deciso di rendere pubbliche le vulnerabilità, pubblicando anche dei proof of concept per sfruttarle. Solo a questo punto, dalle parti di IBM si sono resi conto dell’errore e si sono attivati per correggere gli zero-day individuati dal ricercatore.
Al momento, gli sviluppatori IBM hanno corretto due delle vulnerabilità e starebbero lavorando a quelle rimanenti.
Feb 02, 2023 0
Set 15, 2022 0
Set 08, 2022 0
Ago 01, 2022 0
Mag 03, 2024 0
Mag 03, 2024 0
Mag 02, 2024 0
Mag 02, 2024 0
Mag 03, 2024 0
Sempre più spesso si discute delle crescenti capacità...Apr 29, 2024 0
Lo United States Postal Service (USPS), l’agenzia...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Mag 03, 2024 0
Zscaler ha annunciato l’acquisizione di Airgap...Mag 03, 2024 0
Sempre più spesso si discute delle crescenti capacità...Mag 02, 2024 0
Il Dipartimento della sicurezza interna degli Stati Uniti...Mag 02, 2024 0
L’ultimo aggiornamento di sicurezza per Windows 11...Apr 30, 2024 0
Nell’ultimo mese Okta ha osservato un preoccupante...