Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Falle nell’infrastruttura IT di Microsoft. Il punto debole sono i server

Apr 29, 2019 Marco Schiaffino In evidenza, News, RSS, Tecnologia, Vulnerabilità 0

Swascan ha individuato una serie di vulnerabilità nei sistemi Microsoft. Un eventuale attacco consentirebbe di sottrarre informazioni riservate.

È stata una società italiana a individuare cinque vulnerabilità nell’infrastruttura IT di Microsoft, bug nei sistemi dell’azienda di Redmond che rappresentavano una vera voragine di sicurezza che i pirati informatici avrebbero potuto sfruttare per rendere più efficaci i loro attacchi.

Le vulnerabilità, comunicate da Swascan a Microsoft, hanno diverse caratteristiche ma hanno un elemento in comune: avrebbero permesso di avviare l’esecuzione di codice in remoto sui sistemi.

Il report di Swascan, società specializzata nell’individuazione di vulnerabilità attraverso un’infrastruttura basata su cloud, descrive nel dettaglio i bug, partendo da quello identificato come CWE – 119.

Secondo i ricercatori “Il software esegue operazioni su un buffer di memoria, ma può leggere o scrivere in una posizione di memoria che si trova al di fuori del confine previsto del buffer. Alcuni linguaggi consentono l’indirizzamento diretto delle allocazioni di memoria e non garantiscono automaticamente che queste posizioni siano valide per il buffer di memoria a cui si fa riferimento. Ciò può causare operazioni di lettura o scrittura su allocazioni di memoria che possono essere associate ad altre variabili, strutture dati o dati di programma interni. Di conseguenza, un aggressore può essere in grado di eseguire codice arbitrario, alterare il flusso di controllo previsto, leggere informazioni sensibili o causare il crash del sistema”.

Il bug identificato come CWE-94 è invece basato sull’injection di codice. Secondo Swascan “Il software costruisce tutto o parte di un segmento di codice utilizzando input influenzati esternamente da un componente a monte, ma non neutralizza – o lo fa in modo errato – elementi speciali che potrebbero modificare la sintassi o il comportamento del segmento di codice previsto. Quando il software permette all’input di un utente di contenere la sintassi del codice, potrebbe essere possibile per un potenziale aggressore creare il codice in modo tale da alterare il flusso di controllo previsto del software. Una tale alterazione potrebbe portare ad un’esecuzione arbitraria del codice”.

Per quanto riguarda le vulnerabilità identificate come CWE-200 si parla invece di una information exposure, cioè la divulgazione intenzionale o non intenzionale di informazioni a un attore che non è esplicitamente autorizzato ad avere accesso a tali informazioni. Tutti i bug sono stati prontamente corretti in seguito alla segnalazione di Swascan.

Condividi l'articolo