Nuove falle critiche in GitLab (CVE-2026-97229 e CVE-2026-90970) e approfondimenti sullo sfruttamento di AnyPwn in AnyDesk mettono in luce le sfide della cybersecurity. Emergenti discussioni sulla gestione delle vulnerabilità e l'impatto dell'AI.
Il panorama della sicurezza informatica è in costante evoluzione, con nuove minacce che emergono regolarmente e richiedono risposte rapide ed efficaci. Recentemente, la comunità della cybersecurity è stata nuovamente scossa da scoperte significative riguardanti vulnerabilità critiche in piattaforme ampiamente utilizzate, tra cui GitLab e AnyDesk.
GitLab ha emesso un avviso urgente ai propri utenti riguardo a una vulnerabilità di massima gravità, tracciata come CVE-2026-97229, che affligge il suo CI/CD Regular Expression Compiler. Questa falla, scoperta da un ricercatore di sicurezza noto come 'joaxcar' tramite il programma bug bounty di GitLab, permette a un utente non autenticato di eseguire codice arbitrario sul server GitLab attraverso una regular expression appositamente creata all'interno dei file di configurazione della pipeline. Il punteggio CVSS assegnato a questa vulnerabilità è di 10.0, il massimo possibile, evidenziando la sua estrema pericolosità.
La vulnerabilità deriva da un integer overflow nel motore che analizza, compila e valuta le espressioni regolari. In determinate condizioni, una validazione insufficiente della regular expression può portare a un'esecuzione di codice non autorizzata. GitLab ha rilasciato patch correttive per le versioni Community Edition (CE) e Enterprise Edition (EE) a partire dalla 19.2 (versioni inferiori a 19.2.8), 19.3 (inferiori a 19.3.5) e 19.4 (inferiori a 19.4.2). L'azienda raccomanda vivamente l'aggiornamento immediato di tutte le installazioni self-managed. Le istanze GitLab.com sono già state aggiornate, e i clienti GitLab Dedicated non necessitano di azioni specifiche.
Questa non è la prima vulnerabilità critica che GitLab affronta di recente. A gennaio, è stata corretta una falla di bypass dell'autenticazione a due fattori (CVE-2026-0723), e il mese scorso una vulnerabilità di massima gravità (CVE-2026-85706) ha permesso a attaccanti non autenticati di leggere dati sensibili dai server. Quest'ultima è stata persino aggiunta al catalogo CISA delle vulnerabilità sfruttate attivamente in natura, con un ordine di messa in sicurezza per le agenzie federali statunitensi.
Oltre alla critica CVE-2026-97229, GitLab ha recentemente affrontato un'altra vulnerabilità significativa nel suo AI Gateway, tracciata come CVE-2026-90970 con un punteggio CVSS di 9.9. Questa falla, segnalata dal ricercatore 'invisiblemeerkat', permette a un utente autenticato con accesso alla Duo Agent Platform di eseguire comandi arbitrari sul gateway. Il problema risiede nella gestione dei modelli di prompt personalizzati, che consente a un utente malintenzionato di eludere la sandbox del prompt template e ottenere l'esecuzione di comandi sull'host del gateway. GitLab ha rilasciato patch per questa vulnerabilità nelle versioni AI Gateway 19.2.4, 19.3.2 e 19.4.1.
Tornando alla vulnerabilità AnyPwn precedentemente identificata in AnyDesk versione 8.0.2 su Linux, le nuove analisi tecniche hanno ulteriormente chiarito i meccanismi di sfruttamento. Il problema risiedeva nella gestione dei pacchetti dello stream 'mode-5' del protocollo di sessione. Una mancata validazione della lunghezza di un payload ricevuto da remoto consentiva a un attaccante di inviare una lunghezza eccessiva. A causa di un calcolo errato che utilizzava aritmetica a 32 bit e aggiungeva un header di 16 byte, la memoria allocata veniva troncata a valori molto bassi, mentre la lunghezza logica del payload rimaneva quella specificata dall'attaccante. Questa discrepanza causava un buffer overflow, permettendo la scrittura di dati controllati dall'attaccante oltre i limiti della memoria allocata.
Lo sfruttamento di questa falla richiedeva tecniche sofisticate come l'allocator grooming per manipolare l'heap del processo AnyDesk e la Return-Oriented Programming (ROP) per costruire una catena di istruzioni (gadget) in grado di eseguire funzioni di sistema come system() con comandi definiti dall'attaccante. L'obiettivo finale era l'ottenimento di privilegi di root sul sistema compromesso. È stato sviluppato un proof-of-concept funzionante su sistemi Linux x86_64, sfruttando la connessione diretta alla porta TCP 7070 di AnyDesk, specificamente per la versione 8.0.2 in modalità servizio. Un tentativo di exploit non riuscito poteva semplicemente causare il crash del servizio AnyDesk.
AnyDesk aveva già confermato che la vulnerabilità era circoscritta ai sistemi Linux con connessioni dirette e aveva rilasciato la patch nella versione 8.0.3. L'aggiornamento tempestivo rimane cruciale per tutti gli utenti Linux di AnyDesk.
Nel contesto della crescente ondata di vulnerabilità, emerge una discussione critica sulla reale efficacia dei sistemi di gestione delle vulnerabilità basati esclusivamente su punteggi teorici come il CVSS. Le nuove fonti sottolineano come le organizzazioni si trovino a dover gestire milioni di vulnerabilità su centinaia di sistemi, un compito quasi insostenibile. Un esempio emblematico è quello di un'organizzazione il cui sistema di gestione è collassato dopo il rilascio di un Patch Tuesday, incapace di gestire l'enorme volume di nuove istanze di vulnerabilità, nonostante il numero di CVE fosse apparentemente gestibile.
La tendenza attuale, supportata da esperti come Jay Jacobs di Empirical Security e Jeremiah Grossman di Root Evidence, è quella di spostare l'attenzione dai punteggi teorici ai dati di sfruttamento reali e alla specifica applicabilità all'ambiente dell'organizzazione. Si evidenzia che non tutte le vulnerabilità scoperte vengono effettivamente sfruttate dagli attaccanti. Grossman afferma che solo una piccola percentuale di CVE viene attivamente sfruttata, e che gli attaccanti tendono a colpire gli asset meno difesi, spesso quelli di cui le organizzazioni non sono nemmeno consapevoli.
In questo scenario, strumenti come la lista delle Vulnerabilità Note Sfruttate (KEV) della CISA e cataloghi simili diventano fondamentali per la prioritizzazione. L'intelligenza artificiale (AI), pur aumentando il volume di vulnerabilità scoperte, non necessariamente incrementa il rischio effettivo se non accompagnata da un'analisi contestuale. Come sottolinea Ed Bellis di Empirical Security, l'AI può generare più rumore, ma le organizzazioni non devono necessariamente correggere ogni singola falla. La chiave sta nel migliorare la disponibilità di dati e nell'adottare approcci più data-driven, che tengano conto delle condizioni di sfruttabilità e dei controlli compensativi già in atto.
La gestione manuale dei processi di remediation, a causa dell'insufficiente disponibilità di dati, sta mettendo a dura prova i team di sicurezza. L'evoluzione verso programmi più efficaci richiederà una maggiore integrazione tra scoperta, prioritizzazione, remediation e verifica, possibilmente all'interno di un'unica console, con un'attenzione particolare al supporto per diversi sistemi operativi e a flussi di lavoro automatizzati.
In un contesto parallelo e distinto dalle sfide tecniche, sono emerse informazioni su un'operazione di estorsione sessuale internazionale. Due cittadini della Repubblica Dominicana sono stati estradati negli Stati Uniti per rispondere di accuse relative a un presunto schema di cyberstalking. Le autorità sostengono che i due individui abbiano utilizzato piattaforme social come Facebook e WhatsApp per prendere di mira vittime a Porto Rico. Il modus operandi prevedeva l'induzione delle vittime a condividere immagini e video sessualmente espliciti, che venivano poi registrati segretamente. Successivamente, i sospetti richiedevano denaro minacciando di diffondere il materiale compromettente a familiari e amici. In alcuni casi, sono state create collage fotografiche con immagini delle vittime e di minori per simulare un coinvolgimento in relazioni inappropriate con minori.
L'operazione di estorsione sembrava proseguire anche dopo i pagamenti, con minacce continue e diffusione delle immagini. L'FBI San Juan ha guidato le indagini, collaborando con le autorità della Repubblica Dominicana e altre agenzie statunitensi. I due imputati affrontano accuse di cospirazione per cyberstalking e invio di minacce interstatali.
Questi sviluppi sottolineano la diversità delle minacce informatiche, che spaziano da vulnerabilità tecniche in software ampiamente utilizzati a schemi criminali transnazionali che sfruttano la vulnerabilità umana attraverso i canali digitali.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
