Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falle in Java e Python permettono di aggirare i firewall

Feb 22, 2017 Marco Schiaffino News, RSS, Vulnerabilità 0

Possibile un attacco che usa per inviare comandi “nascosti” nelle delle URL FTP. Le falle individuate già nel 2014, ma per il momento non c’è una patch.

Tecnicamente viene chiamato “Protocol Injection” ed è una tecnica che permette di incorporare comandi all’interno di semplici URL FTP.

La prima analisi del problema risale al 2014, quando una società russa pubblicò un report che segnalava la possibilità di sfruttare il Protocol Injection con Java.

Ad accendere i riflettori sulla possibilità di utilizzarlo per aggirare i firewall e trasformarlo in un formidabile vettore di attacco, però, è stato il ricercatore di Blindspot Security Timothy Morgan, che in un post sul suo blog dello scorso 20 febbraio ha spiegato nei dettagli come è possibile utilizzare questa tecnica.

Morgan, nel suo report, spiega che il sistema funziona sia con Python che con Java e, in questo secondo caso, specifica come non sia nemmeno necessario che la macchina bersaglio dell’attacco abbia il plugin Java attivato sul browser.

In pratica, la tecnica si basa sulla possibilità che alcune parti delle URL FTP (che un firewall non ritiene pericolose) siano interpretate come comandi, che vengono eseguiti sulla macchina.

La tecnica di Protocol Injection consente di aggirare i controlli dei firewall mascherando i comandi all’interno di semplici URL FTP. Un incubo per gli amministratori IT.

L’attacco, tra l’altro, sarebbe alla portata di qualsiasi cyber-criminale. Tutto quello che deve fare è indurre la vittima ad accedere a un’applicazione Java o Python residente su un server.

Nel caso di Java, per esempio, un pirata informatico potrebbe inserire una (o più) URL FTP all’interno di un file JNLP (Java Network Launch Protocol) che viene inviato al bersaglio nel momento in cui si collega all’applicazione Web.

I comandi all’interno delle URL sarebbero completamente “invisibili” per il firewall, ma verrebbero eseguiti immediatamente dal client Java sulla macchina. L’attacco funziona in ogni caso in cui Java sia installato sul computer, anche se eventuali applicazioni (come il plugin del browser) sono disattivate.

Il ricercatore ha comunicato la presenza delle falle sia agli sviluppatori della Python Software Foundation che a Oracle nel corso del 2016, ma non avrebbe ricevuto alcun riscontro riguardo il rilascio di correzioni che permettano di correggere le vulnerabilità.

Il team di Blindspot Security ha testato l’attacco con firewall di Cisco e Palo Alto Networks, confermandone l’efficacia. Per mitigare il rischio, Morgan consiglia agli amministratori IT di disinstallare Java, disattivare i plugin dei browser e modificare le impostazioni dei firewall per consentire il traffico FTP solo in passive mode.

Condividi l'articolo