Amazon ha segnalato un complesso attacco informatico in cui gli aggressori hanno sfruttato simultaneamente due vulnerabilità zero-day, presenti nei prodotti Citrix e Cisco. Secondo il responsabile della sicurezza informatica dell’azienda, CJ Moses, un gruppo sconosciuto ha ottenuto l’accesso ai sistemi sfruttando le falle prima che fossero rese pubbliche e ha distribuito malware personalizzato.

L’incidente è stato rilevato dalla rete honeypot MadPot di Amazon. Sono stati rilevati tentativi di sfruttare la vulnerabilità CVE-2025-5777 in Citrix NetScaler ADC e NetScaler Gateway, un errore di lettura fuori dai limiti.

Questa vulnerabilità consentiva a un aggressore di leggere da remoto il contenuto della memoria del dispositivo e di ottenere dati sensibili della sessione. La vulnerabilità è stata denominata ufficiosamente CitrixBleed 2, in onore di un bug precedente che consentiva agli hacker di rubare i token di autenticazione degli utenti.

Citrix ha pubblicato una patch il 17 giugno, ma ulteriori osservazioni hanno dimostrato che l’exploit era stato utilizzato attivamente anche prima del rilascio della patch. All’inizio di luglio, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti e ricercatori indipendenti hanno confermato lo sfruttamento della vulnerabilità, che ha consentito il dirottamento delle sessioni utente.

Mentre i ricercatori di Amazon analizzavano l’attacco a Citrix, hanno scoperto un altro componente dannoso che prendeva di mira Cisco Identity Services Engine. Si è scoperto che sfruttava un endpoint di rete precedentemente non descritto, vulnerabile a un errore di deserializzazione dei dati. Queste informazioni sono state condivise con Cisco, e le aziende hanno successivamente assegnato al bug l’identificatore CVE-2025-20337.

Questa seconda vulnerabilità ha ricevuto il punteggio massimo di gravità di 10 sulla scala CVSS. Ha consentito ad aggressori remoti e non autorizzati di eseguire codice arbitrario sul server con privilegi di root. Secondo Moses, ciò che è stato particolarmente allarmante è stato il fatto che gli attacchi siano iniziati prima che Cisco documentasse ufficialmente la vulnerabilità e rilasciasse aggiornamenti completi. Questo “sfruttamento della finestra di patch” è considerato una tecnica tipica utilizzata da aggressori ben preparati che monitorano le modifiche al codice e trasformano immediatamente i bug scoperti in strumenti di attacco.

Dopo essere penetrati in Cisco ISE, gli hacker hanno installato una backdoor personalizzata, progettata specificamente per questa piattaforma. Operava esclusivamente nella RAM, senza lasciare praticamente alcuna traccia, e si infiltrava nei processi Java attivi utilizzando un meccanismo di riflessione.

Il malware si registrava nel sistema come listener HTTP, intercettando tutto il traffico proveniente dal server Tomcat. La crittografia DES e la codifica Base64 non standard venivano utilizzate per scopi stealth, e il controllo degli accessi richiedeva la conoscenza di determinate intestazioni HTTP. Sulla base di una combinazione di indicatori, gli esperti hanno concluso che l’attacco non è stato condotto da hacker casuali, ma da un gruppo con una conoscenza approfondita dell’architettura Cisco ISE e delle applicazioni Java aziendali.

Il fatto che possedessero contemporaneamente exploit per CitrixBleed 2 e CVE-2025-20337indica un elevato livello di sofisticazione da parte degli aggressori. Tali capacità potevano essere possedute solo da un team con ricercatori interni sulle vulnerabilità o con accesso a informazioni non pubbliche sulle vulnerabilità. Né Cisco né Citrix hanno ancora rivelato chi si cela dietro gli attacchi o lo scopo dell’operazione.

Il team di Amazon Threat Intelligence ritiene che questo incidente sia un buon esempio di una tendenza sempre più pericolosa: grandi gruppi APT sfruttano simultaneamente più vulnerabilità per penetrare nei servizi critici, ovvero quelli responsabili dell’autenticazione, del controllo degli accessi e delle policy di rete all’interno delle infrastrutture aziendali.

L'articolo Due 0day, un solo attacco: il colpo perfetto contro Citrix e Cisco. La scoperta di Amazon proviene da Red Hot Cyber.

WiFi-enabled ‘smart’ light bulbs are everywhere these days, and each one of them has a microcontroller inside that’s capable enough to run all sorts of interesting software. For example, [vimpo] decided to get one running a minimal Minecraft server.
The Bl602-equipped board inside the LED lightbulb. (Credit: vimpo, YouTube)
Inside the target bulb is a BL602 MCU by Bouffalo Lab, that features not only a radio supporting 2.4 GHz WiFi and BLE 5, but also a single-core RISC-V CPU that runs at 192 MHz and is equipped with 276 kB of RAM and 128 kB flash.

This was plenty of space for the minimalist Minecraft server [vimpo] wrote several years ago. The project says it was designed for “machines with limited resources”, but you’ve still got to wonder if they ever thought it would end up running on a literal lightbulb at some point.

It should be noted, of course, that this is not the full Minecraft server, and it should only be used for smaller games like the demonstrated TNT run mini game.

Perhaps the next challenge will be to combine a large set of these light bulbs into a distributed computing cluster and run a full-fat Minecraft server? It seems like a waste to leave the BL602s and Espressif MCUs that are in these IoT devices condemned to a life of merely turning the lights on or off when we could have them do so much more.

youtube.com/embed/JIJddTdueb4?…

hackaday.com/2025/11/13/runnin…

What has the EDRi network been up to over the past few weeks? Find out the latest digital rights news in our bi-weekly newsletter. In this edition: Halloween is over… but digital rights horrors remain

The post EDRi-gram, 13 November 2025 appeared first on European Digital Rights (EDRi).

In early October, digital human rights organization Bits of Freedom took Meta to court. The organization demanded that Meta offers its users on in apps such as Instagram and Facebook the option to choose a feed that is not based on profiling. The judge ruled in favour of Bits of Freedom and ordered Meta to modify its apps within two weeks. Meta claimed that such changes were impossible to deliver in that timeframe and asked the Amsterdam Court of Appeal for a postponement. The court has now ruled that Meta will indeed be granted a postponement.

The post Judge grants Meta limited postponement in Bits of Freedom lawsuit appeared first on European Digital Rights (EDRi).

In his opinion, the Court’s Advocate General assesses the compliance of the French law regulating the collection of biometric data by police with EU data protection criteria. Although his interpretation remains strictly theoretical and fails to account for the reality of police practices in France, one of his proposals might become handy for people when seeking redress after abusive data collection.

The post Climate justice action repression vs EU data protection law: the Advocate General’s opinion appeared first on European Digital Rights (EDRi).

The human body and sharp objects don’t get along very well, especially when they are being wielded with ill-intent. Since antiquity there have been various forms of armor designed to protect the wearer, but thankfully these days random sword fights don’t often break out on the street. Still, [SCREEN TESTED] wanted to test the viability of 3D printed chain mail — if not for actual combat, at least for re-enactment purposes.

He uses tough PLA to crank out a bed worth of what looks like [ZeroAlligator]’s PipeLink Chainmail Fabric, which just so happens to be the trending result on Bambu’s MakerWorld currently. The video shows several types of mail on the printer, but the test dummy only gets the one H-type pattern, which is a pity — there’s a whole realm of tests waiting to be done on different mail patterns and filament types.

In any case, the mail holds up fairly well to puncture from scissors and screwdrivers — with a heavy sweater or proper gambeson (a quilted cloth underlayer commonly worn with armor) on underneath, it looks like it could actually protect you. To slashing blows, PLA holds up astoundingly well, barely marked even by slashes from an actual sword. As for projectiles, well, everyone knows that to an arrow, chain mail is made of holes, and this PLA-based armor is no different (as you can see at 8:30 in the video below).

If you want to be really safe when the world goes Mad Max, you’d probably want actual chain mail, perhaps from stainless steel. On the other hand, if someone tries to mug you on the way home from a con, cosplay armor might actually keep you safer than one might first suspect. It’s not great armor, but it’s a great result for homemade plastic armor.

Of course you’d still be better off with Stepahnie Kwolek’s great invention, Kevlar.

youtube.com/embed/EJKMNdjISHQ?…

hackaday.com/2025/11/13/3d-pri…

While the EU's AI Act aims to regulate high-risk AI systems, it is undermined by major loopholes that allow their unchecked use in the context of national security and law enforcement. These exemptions risk enabling, among others, mass surveillance of protests and discriminatory migration practices. To prevent this, EDRi affiliate Danes je nov dan has published recommendations for Slovenia to adopt stricter national safeguards and transparent oversight mechanisms.

The post The AI Act isn’t enough: closing the dangerous loopholes that enable rights violations appeared first on European Digital Rights (EDRi).

Il 17 novembre è la Giornata internazionale degli studenti, un appuntamento annuale che invita a riflettere sul valore universale dell’educazione innanzitutto come diritto allo studio. Istituita nel 1941 per ricordare gli studenti e i professori di Praga giustiziati dai nazisti il 17 novembre del 1939, questa ricorrenza è oggi un’occasione per ripensare la scuola come luogo in cui costruire pace e giustizia.

In un mondo attraversato da conflitti e disuguaglianze, l’educazione diventa così un laboratorio dove immaginare il futuro. Nella sua recente Lettera apostolica Disegnare nuove mappe di speranza, papa Leone XIV scrive che «educare è un atto di speranza e una passione che si rinnova perché manifesta la promessa che vediamo nel futuro dell’umanità. La specificità, la profondità e l’ampiezza dell’azione educativa è quell’opera – tanto misteriosa quanto reale – di “far fiorire l’essere […] è prendersi cura dell’anima” come si legge nell’ Apologia di Socrate di Platone. È un “mestiere di promesse”: si promette tempo, fiducia, competenza; si promette giustizia e misericordia, si promette il coraggio della verità e il balsamo della consolazione. Educare è un compito d’amore che si tramanda di generazione in generazione, ricucendo il tessuto lacerato delle relazioni e restituendo alle parole il peso della promessa: “Ogni uomo è capace della verità, tuttavia, è molto sopportabile il cammino quando si va avanti con l’aiuto dell’altro”. La verità si ricerca in comunità».

Iscriviti alla newsletter

Leggie ascolta in anteprima La Civiltà Cattolica, ogni giovedì, direttamente nella tua casella di posta.

Iscriviti ora

Un cammino che possiamo affrontare prendendo come bussola, ha ricordato il Pontefice, la Dichiarazione conciliare Gravissimum educationis sull’estrema importanza e attualità dell’educazione nella vita della persona umana, di cui quest’anno ricorre il 60° anniversario. Una Dichiarazione che mette al primo punto «Il diritto di ogni uomo all’educazione». «Tutti gli uomini di qualunque razza, condizione ed età, in forza della loro dignità di persona hanno il diritto inalienabile ad una educazione – si legge nel testo -, che risponda alla loro vocazione propria e sia conforme al loro temperamento, alla differenza di sesso, alla cultura e alle tradizioni del loro paese, ed insieme aperta ad una fraterna convivenza con gli altri popoli, al fine di garantire la vera unità e la vera pace sulla terra. La vera educazione deve promuovere la formazione della persona umana sia in vista del suo fine ultimo, sia per il bene dei vari gruppi di cui l’uomo è membro ed in cui, divenuto adulto, avrà mansioni da svolgere».

La dichiarazione conciliare, aggiunge papa Leone XIV, «riafferma il diritto di ciascuno all’educazione e indica la famiglia come prima scuola di umanità. La comunità ecclesiale è chiamata a sostenere ambienti che integrino fede e cultura, rispettino la dignità di tutti, dialoghino con la società. Il documento mette in guardia da ogni riduzione dell’educazione a addestramento funzionale o strumento economico: una persona non è un “profilo di competenze”, non si riduce a un algoritmo previsibile, ma un volto, una storia, una vocazione».

Fede e identità: un binomio generativo

In questo contesto, anche l’educazione cattolica sta attraversando una fase di ripensamento profondo, come si legge in un nostro articolo del 2024, «Fede, identità, scuola. Una sfida da affrontare». La sfida, infatti, non è semplicemente “insegnare religione”, ma restituire alla fede il suo carattere vitale, non come obbligo o ornamento, bensì come necessità antropologica e spazio di identità. «In questa ricerca della propria ragion d’essere, la sfida non passa soltanto attraverso la necessaria innovazione pedagogica, l’imprescindibile attenzione per le lingue straniere o la proposta in termini umani e valoriali – si legge nell’articolo -. Non si tratta nemmeno di proporre un ritorno al passato, di ripristinare modalità ottocentesche. Lo spirito della tradizione, bisogna dirlo chiaramente, è un’altra cosa. È una ricerca che dev’essere inquadrata nella stessa identità cristiana e che chiama in causa il ruolo dei cristiani e delle loro istituzioni nel XXI secolo, non in altre epoche. Non dobbiamo dimenticare che, mentre molte parrocchie si svuotano di giovani, nelle scuole la Chiesa continua a mantenere un notevole spazio di contatto con i ragazzi. Il che non significa necessariamente che il compito sia facile, ma questo non ci esenta dalla responsabilità di cercare di interpretare i “segni dei tempi” e di adattarci ai cambiamenti della società e della Chiesa, e ai venti dello Spirito Santo».

L’università come ponte globale

Anche le Università cattoliche sono chiamate a questo ripensamento profondo, soprattutto per l’internazionalizzazione e la globalizzazione dell’istruzione superiore. Oggi, infatti, solo negli Strati Uniti, sono oltre un milione gli studenti internazionali, ma il dato è in crescita un po’ ovunque, come si legge nell’articolo «L’assistenza pastorale agli studenti internazionali». In questo contesto, il compito primario di una missione universitaria e di una cappellania, è quello di «preservare e rafforzare l’identità cattolica dell’università, promuovendo questa missione fra tutti i membri della comunità universitaria. Attraverso le proprie attività di ministero nel campus, la cappellania universitaria potrebbe diventare un punto di contatto centrale per fornire assistenza pastorale agli studenti internazionali, organizzando per loro regolari attività e collaborando con il personale universitario, le facoltà e altre componenti interessate. Tale attività può comprendere l’avvio di programmi di assistenza pastorale in collaborazione con uffici di sensibilizzazione diocesani locali, parrocchie e altri gruppi impegnati a sostenere questi studenti. Facilitando tali iniziative, la cappellania universitaria aiuta a creare un ambiente inclusivo, in cui gli studenti internazionali siano in grado di progredire sotto i profili accademico, spirituale e sociale».

Inaugurare una nuova stagione

Da queste prospettive emerge una visione comune: educare è atto di pace e di fiducia, è costruire mappe di speranza nel cuore della storia. La Giornata internazionale degli studenti ricorda che il diritto di studiare non può essere dato per scontato e oggi più che mai, come ricorda papa Leone XIV sempre nella Lettera apostolica, siamo chiamati a «inaugurare una stagione che parli al cuore delle nuove generazioni, ricomponendo conoscenza e senso, competenza e responsabilità, fede e vita».

The post Educare alla speranza: studenti protagonisti di dignità e futuro first appeared on La Civiltà Cattolica.

127 civil society organisations and unions are urging the European Commission to halt its planned Digital Omnibus, warning that the proposals would weaken core EU laws like the GDPR and AI Act, and represent the biggest rollback of digital rights in EU history.

The post Forthcoming Digital Omnibus would mark point of no return appeared first on European Digital Rights (EDRi).

Over on YouTube [Usagi Electric] shows us how he installed an 84MB hard drive into his PDP-11/44.

In the beginning he purchased a bunch of RA70 and RA72 drives and board sets but none of them worked. As there are no schematics it’s very difficult to figure out how they’re broken and how to troubleshoot them.

Fortunately his friend sent him an “unhealthy” Memorex 214 84MB hard drive, also known as a Fujitsu 2312. The best thing about this hard drive is that it comes complete with a 400 page manual which includes the full theory of operation and a full set of schematics. Score!

After removing the fan and popping the lid we see this Fujitsu 2312 is chock-full of 7400 series logic. For power this drive needs 24 volts at 6 amps, 5 volts at 4.5 amps, and -12 volts at 4 amps. Fitting the drive into the PDP-11 rack requires a little mechanical adjustment but after making some alterations the hard drive and a TU58 tape drive fit in their allotted 3U rack space.

After a little bit of fiddling with the drive controller board the Control Status Register (RKCS1) reads 000200, which indicates fully functional status. At this point the belief is that this computer would boot off this drive, if only it contained an operating system. The operating system for this machine is RSX11. And that, dear reader, is where we are now. Does anyone have a copy of RSX11 and a suggestion for how we get it copied onto the Fujitsu 2312? We wouldn’t want to have to toggle-in our operating system each time we boot…

youtube.com/embed/0TU3Jn3DubM?…

hackaday.com/2025/11/12/instal…