Una falla critica nella sicurezza del demone Linux UDisks è stata rilevata recentemente, che consente a potenziali malintenzionati senza privilegi di accedere a file appartenenti ad utenti con privilegi elevati. La vulnerabilità, catalogata come CVE-2025-8067, è stata resa pubblica il 28 agosto 2025, con un punteggio CVSS v3 di 8,5, che ne sottolinea l’importanza.

Si tratta di un errore nella convalida degli input nel gestore dei dispositivi del demone UDisks che provoca la vulnerabilità. Questo gestore elabora le richieste attraverso l’interfaccia D-BUS. La falla si manifesta quando il demone elabora due parametri specifici: un valore di indice che determina il file di supporto per la creazione del dispositivo loop e l’elenco dei descrittori dei file.

Sebbene il demone convalidi correttamente il parametro indice per evitare che superi i valori massimi consentiti, non riesce a convalidare il limite inferiore. Questa svista consente agli aggressori di fornire valori di indice negativi, determinando una condizione di lettura fuori limite classificata come CWE-125.

La vulnerabilità consente agli utenti non privilegiati di creare dispositivi loop tramite l’interfaccia di sistema D-BUS, causando potenzialmente l’arresto anomalo del demone UDisks o, cosa ancora più grave, facilitando l’escalation dei privilegi locali .

Gli aggressori possono sfruttare questa falla per accedere ai file sensibili di proprietà di utenti privilegiati, aggirando i normali controlli delle autorizzazioni. Il ricercatore di sicurezza Michael Imfeld ha scoperto e segnalato questa vulnerabilità a Red Hat. Il team Product Security di Red Hat ha classificato questa vulnerabilità come importante a causa della sua bassa complessità di sfruttamento e del significativo potenziale di escalation dei privilegi.

Il vettore CVSS v3 CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H indica un vettore di attacco locale con bassa complessità, che non richiede privilegi o interazione da parte dell’utente. La vulnerabilità ha un ambito modificato con basso impatto sulla riservatezza e sull’integrità ma elevato impatto sulla disponibilità.

L’impatto tecnico include la potenziale divulgazione della memoria di chiavi crittografiche, informazioni personali identificabili e indirizzi di memoria che potrebbero aggirare le protezioni ASLR (Address Space Layout Randomization).

L'articolo Falla critica in Linux: scoperta vulnerabilità con CVSS 8.5 nel demone UDisks proviene da il blog della sicurezza informatica.

To say that neutrinos aren’t the easiest particles to study would be a bit of an understatement. Outside of dark matter, there’s not much in particle physics that is as slippery as the elusive “ghost particles” that are endlessly streaming through you and everything you own. That’s why its exciting news that JUNO is now taking data as the world’s largest detector.

First, in case you’re not a physics geek, let’s go back to basics. Neutrinos are neutral particles (the name was coined by Fermi as “little neutral one”) with very, very little mass and a propensity for slipping in between the more-common particles that make up everyday matter. The fact that neutrinos have mass is kind of weird, in that it’s not part of the Standard Model of Particle Physics. Since the Standard Model gets just about everything else right (except for dark matter) down to quite a few decimal points, well… that’s a very interesting kind of weird, hence the worldwide race to unravel the mysteries of the so-called “ghost particle”. We have an explainer article here for anyone who wants more background.

The JUNO vessel from inside the (then empty) water jacket. Note the outwards-facing PMTs.
With JUNO, China is likely to take the lead in that race. JUNO stands for Jiangmen Underground Neutrino Observatory, and if you fancy a trip to southern China you can find it 700 metres under Guangdong. With 20,000 tonnes of liquid scintillator (a chemical that lights up when excited by a subatomic particle) and 43,200 photomultiplier tubes (PMTs) to catch every photon the scintillator gives off, it is the largest of its type in the world.

The liquid scintillator — linear alkyl benzene, for the chemists — is housed within an acrylic sphere surrounded by PMTs, suspended within an extra sixty thousand tonnes of ultra-pure water for radiation shielding. The arrangement is similar to the Sudbury Neutrino Observatory, but much larger. More PMTs point outwards to monitor this water jacket to serve as coincidence detectors for things like muons. With all of those PMTs, we can only hope everyone has learned from Super-K, and they don’t all blow up this time.

Assuming no catastrophic failure, JUNO will have great sensitivity in particular to antineutrinos, and will be used not just for astroparticle physics but as part of a beam experiment to study neutrino oscillations from neutrinos emitted by nearby nuclear reactors. (Virtually all nuclear reactions, from fusion to fission to beta decay, involve neutrino emission.) Neutrino oscillation refers to the strange ability neutrinos have to oscillate between their three different ‘flavours’ something related to their anomalous mass.
In this schematic diagram of a neutrino detection, PMTs around the detector are coloured according to the photons detected. The neutrino’s path has been recreated as a green line.
While JUNO is the biggest in the world, it won’t be forever. If everything goes according to plan, Japan will take the crown back when HyperKamiokande comes online inside its 258,000 tonne water vessel in 2028. Of course the great thing about scientific competition is that it doesn’t matter who is on top: with openly published results, we all win.

hackaday.com/2025/09/01/worlds…

IT'S MONDAY, AND THIS IS DIGITAL POLITICS. I'm Mark Scott, and this edition marks the one-year anniversary for this newsletter. That's 61 newsletters, roughly 130,000 words and, hopefully, some useful insight into the world of global digital policymaking.

To thank all subscribers for your support, I'm offering a one-year additional paid subscription to someone from your network. Please fill in this form, and I will add one additional subscriber (for Digital Guru subscribers, it will be three additional users) for a 12-month period.

Also, for anyone in Brussels, I'll be in town next week from Sept 8 - 11. Drop me a line if you're free for coffee.

— The outcome to a series of legal challenges to online safety legislation will be made public in the coming weeks. The results may challenge how these laws are implemented.

— We are starting to see the consequences of what happens when policymakers fail to define what "tech sovereignty" actually means.

— The vast amount of money within the semiconductor industry comes from the design, not manufacture, of high-end microchips.

Let's get started:

digitalpolitics.co/newsletter0…

Il National Institute of Standards and Technology (NIST) degli Stati Uniti, attraverso il suo National Cybersecurity Center of Excellence (NCCoE), ha introdotto un approccio basato sui dati decentralizzati per aiutare i produttori e i settori delle infrastrutture critiche a proteggere le loro supply chain e gli ambienti operativi. Il documento introduce un meta-framework progettato per migliorare la tracciabilità lungo diverse supply chain, consentendo la registrazione strutturata, il collegamento e il recupero dei dati di tracciabilità.

Nell’ambito di questo sforzo, il NIST ha rilasciato un’implementazione di riferimento (RI) per il prodotto minimo vitale (MVP) per testare ecosistemi sperimentali di supply chain in un ambiente di laboratorio controllato. L’implementazione esamina come i dati di tracciabilità possano essere condivisi tra settori e ambienti di utilizzo finale critici, affrontando sfide fondamentali come l’interoperabilità, la sicurezza informatica, la governance e l’analisi dei dati.

L’MVP RI si basa sullo standard NIST IR 8419 e trae spunto dal meta-framework delineato nello standard NIST IR 8536. Questo framework fornisce un modello tecnologicamente neutrale per organizzare, collegare e interrogare i dati di tracciabilità tra diversi sistemi e stakeholder. Fungendo da modello architetturale, supporta lo sviluppo e il testing di soluzioni di tracciabilità per ecosistemi gestiti dall’industria, con l’obiettivo di rafforzare la trasparenza, la gestione del rischio e la resilienza nelle moderne catene di fornitura.

All’inizio di agosto, il NIST ha pubblicato la seconda bozza pubblica del Rapporto Interno NIST 8536, Supply Chain Traceability: Manufacturing Meta-Framework. L’iniziativa supporta i produttori statunitensi nella protezione delle loro supply chain sviluppando un’implementazione di riferimento che dimostra come scambiare dati di tracciabilità dei componenti in modo sicuro tra ecosistemi distribuiti. Il meta-framework migliora la tracciabilità end-to-end della supply chain organizzando, collegando e interrogando i dati di tracciabilità in diversi ambienti di produzione .

Attraverso repository di dati affidabili, le parti interessate possono accedere alle informazioni sulla catena di fornitura necessarie per verificare la provenienza del prodotto, dimostrare la conformità agli obblighi normativi e contrattuali e valutare l’integrità della catena di fornitura.

Il meta-framework definisce i principi chiave per rafforzare la visibilità, l’affidabilità e l’integrità nella tracciabilità della supply chain. Sottolinea la necessità di dati e ontologie comuni per garantire che le informazioni rimangano strutturate, interoperabili e comprensibili in tutti i settori.

Sottolinea inoltre l’importanza di repository sicuri e verificabili all’interno degli ecosistemi industriali per gestire i record di tracciabilità. La tracciabilità stessa viene stabilita attraverso record basati su eventi, come produzione, spedizione e ricezione, che sono collegati tramite connessioni crittograficamente verificabili. Insieme, questi record sequenziali formano catene di tracciabilità che consentono alle parti interessate di confermare la cronologia e il movimento dei prodotti lungo la rete di fornitura.

Offrendo una soluzione scalabile per migliorare la tracciabilità in tutti i settori industriali, il meta-framework consente alle organizzazioni di scambiare dati sulla supply chain in modo sicuro. Con la crescente complessità delle supply chain globali, questo approccio rafforza l’integrità, supporta il rispetto degli obblighi legali, contrattuali e operativi e promuove la fiducia degli stakeholder.

Gli obiettivi principali del meta-framework sono migliorare la trasparenza della supply chain fornendo un approccio strutturato per la registrazione e il collegamento dei dati di tracciabilità, garantendo una maggiore visibilità tra gli ecosistemi. Si propone di garantire l’interoperabilità dei dati attraverso un modello comune che consenta l’integrazione tra operatori del settore, ecosistemi e stakeholder esterni. Un altro obiettivo è rafforzare la verifica dell’autenticità e della provenienza dei prodotti supportando meccanismi che consentano agli stakeholder di confermare l’origine e la discendenza di componenti, materiali e prodotti finiti.

Il framework consente inoltre alle organizzazioni di soddisfare i requisiti di tracciabilità stabiliti da contratti, standard o normative attraverso un modello strutturato di condivisione dei dati. Inoltre, pone l’accento sul miglioramento della sicurezza, dell’integrità dei dati e della privacy definendo best practice per l’autenticazione, il controllo degli accessi e la convalida crittografica, garantendo che i dati di tracciabilità rimangano accurati, a prova di manomissione e adeguatamente definiti per proteggere le informazioni sensibili. Infine, facilita la governance dell’ecosistema consentendo alle parti interessate di definire regole in linea con gli obblighi e le aspettative esterne, garantendo al contempo un’efficace tracciabilità.

L'articolo Trasparenza e resilienza: il NIST pubblica il meta-framework che cambia la gestione delle supply chain proviene da il blog della sicurezza informatica.