La città francese di Lione ha annunciato un massiccio abbandono dei prodotti Microsoft e un passaggio a software open source, che rappresenta un altro segnale dell’aumento dell’interesse dell’Europa per l’indipendenza tecnologica.

Come hanno spiegato le autorità di Lione, i principali motivi sono stati il desiderio di ridurre la dipendenza dalle corporation IT statunitensi, prolungare la vita utile delle attrezzature cittadine e ridurre così l’impatto nocivo sull’ambiente. L’abbandono del software commerciale si inserisce anche nella strategia di rafforzamento della sovranità tecnologica, che le autorità cittadine intendono realizzare nei prossimi anni.

Nell’ambito di questi piani, a Lione si abbandonerà completamente la suite Microsoft Office, sostituendola con OnlyOffice, un software libero della società Ascensio Systems distribuito sotto licenza GNU Affero General Public License versione 3. Al posto dei servizi Microsoft per la collaborazione e la videoconferenza, le autorità adotteranno il complesso francese “Territoire Numérique Ouvert“, che si traduce come “Territorio digitale aperto”.

Per lo sviluppo e l’adattamento del complesso sono già stati stanziati circa due milioni di euro. I fondi sono stati forniti dall’Agenzia nazionale francese per lo sviluppo dei territori, che sostiene il passaggio delle regioni del paese a soluzioni digitali locali e indipendenti. Il “Territoire Numérique Ouvert” è già utilizzato in nove comunità francesi e conta diverse migliaia di utenti.

La decisione di Lione di abbandonare il software statunitense appare particolarmente significativa sulla scia della decisione del Ministero della digitalizzazione danese, che solo poche settimane fa ha annunciato la sua intenzione di eliminare i prodotti Microsoft. Inoltre, l’Unione Europea negli ultimi anni ha attivamente promosso le idee di sovranità digitale e cerca di ridurre i rischi legati al fatto che i dati dei cittadini e delle organizzazioni siano archiviati in un’infrastruttura di proprietà di società statunitensi.

Tali iniziative costringono i giganti IT statunitensi, tra cui Microsoft e AWS, a fare dichiarazioni eclatanti sulla “localizzazione dei dati” e sull’impossibilità di intervento da parte delle autorità statunitensi. Tuttavia, come ha dimostrato l’esempio di Lione, sempre più strutture europee preferiscono non credere alle parole e costruire le proprie alternative.

Il municipio di Lione serve più di un milione di persone e ha un organico di quasi 10.000 dipendenti. La perdita di un cliente del genere sarà senza dubbio un colpo spiacevole per i partner locali di Microsoft, ma su scala globale difficilmente influenzerà la situazione finanziaria dell’azienda. Tuttavia, proprio tali soluzioni locali potrebbero gradualmente trasformarsi in una tendenza seria in tutta la regione.

Oggi la tendenza all’abbandono del software statunitense da parte delle città e delle amministrazioni europee sta prendendo piede e comincia a somigliare a una valanga che sarà difficile da fermare.

L'articolo Milioni di europei senza Microsoft: la città di Lione abbraccia il software open source proviene da il blog della sicurezza informatica.

Una vulnerabilità critica di tipo denial of service (DoS) è stata identificata in più versioni del server MongoDB, nelle release 6.0, 7.0 e 8.0. La vulnerabilità, classificata come CVE-2025-6709, e consente ad aggressori non autenticati di bloccare i server MongoDB inviando payload JSON dannosi tramite la shell MongoDB.

La vulnerabilità identificata deriva da una convalida errata degli input nel meccanismo di autenticazione OpenID Connect (OIDC) del server, che consente agli aggressori di bloccare le istanze del database senza richiedere credenziali di autenticazione. Il punteggio CVSS di questa vulnerabilità è di 7,5, il che indica un rischio elevato per le organizzazioni che eseguono distribuzioni MongoDB vulnerabili in ambienti di produzione.

Gli aggressori possono sfruttare la shell MongoDB per trasmettere dati JSON dannosi appositamente creati, che innescano una condizione di errore, che porta a crash completi del server. Il meccanismo di attacco aggira i tradizionali requisiti di autenticazione, rendendolo particolarmente pericoloso in quanto consente ad aggressori remoti non autenticati di interrompere le operazioni del database.

La causa tecnica principale è l’inadeguata sanificazione e convalida dei dati di input formattati come data all’interno della pipeline di autenticazione OIDC. Quando il server MongoDB elabora questi valori di data non validi, la logica di analisi incontra strutture di dati inaspettate che violano i presupposti interni, causando l’interruzione imprevista del processo del server.

Le versioni di MongoDB Server v7.0 precedenti alla 7.0.17 e le versioni v8.0 precedenti alla 8.0.5 sono soggette a sfruttamento pre-autenticazione, consentendo ad aggressori completamente non autenticati di attivare da remoto condizioni di negazione del servizio. Anche le versioni di MongoDB Server v6.0 precedenti alla 6.0.21 contengono questa vulnerabilità, anche se per sfruttarla è necessaria un’autenticazione corretta.

Per mitigare questa vulnerabilità, i team di sicurezza dovrebbero dare priorità all’applicazione immediata delle patch alle ultime versioni stabili: MongoDB Server 6.0.21, 7.0.17 o 8.0.5, a seconda della versione di distribuzione corrente. Le organizzazioni che non sono in grado di implementare patch immediate dovrebbero prendere in considerazione l’implementazione di controlli di accesso a livello di rete, disabilitando temporaneamente l’autenticazione OIDC se non è essenziale per le operazioni o distribuendo firewall per applicazioni Web in grado di filtrare i payload JSON dannosi.

L'articolo Crolla MongoDB! Scoperta falla critica che blocca i server con un semplice JSON proviene da il blog della sicurezza informatica.

Centinaia di modelli di stampanti di Brother e di altri produttori (Fujifilm, Toshiba, Ricoh e Konica Minolta) sono risultati vulnerabili a gravi vulnerabilità scoperte dai ricercatori di Rapid7. Ad esempio, le stampanti sono dotate di una password di amministratore predefinita che può essere generata da aggressori remoti.

In totale, gli esperti hanno individuato otto diversi problemi nelle stampanti Brother:

La più grave, scoperta dai ricercatori di sicurezza, è il CVE-2024-51978, poiché la password predefinita sulle stampanti vulnerabili viene generata in fase di produzione utilizzando uno speciale algoritmo e si basa sul numero di serie del dispositivo. Gli analisti di Rapid7 scrivono che il processo di generazione della password è facilmente invertibile e si presenta in questo modo:

• è necessario prendere i primi 16 caratteri del numero di serie del dispositivo;
• aggiungere 8 byte ottenuti dalla tabella statica con salt;
• eseguire l’hashing del risultato utilizzando SHA256;
• hash codificato in formato Base64;
• prendi i primi otto caratteri e sostituisci alcune lettere con simboli speciali.

Si noti che gli aggressori possono accedere al numero di serie della stampante di destinazione utilizzando vari metodi o sfruttando la vulnerabilità CVE-2024-51977. Possono quindi utilizzare l’algoritmo descritto per generare una password di amministratore e accedere come amministratore.

Gli aggressori possono quindi riconfigurare la stampante, accedere alle immagini scansionate salvate, al contenuto della rubrica, sfruttare il CVE-2024-51979 per l’esecuzione di codice remoto o il CVE-2024-51984 per raccogliere credenziali.

Sebbene tutte le vulnerabilità sopra menzionate siano già state risolte nei firmware aggiornati rilasciati dai produttori, il problema critico CVE-2024-51978 non è stato altrettanto facile da risolvere. Dopotutto, la radice della vulnerabilità risiede nella logica stessa di generazione delle password utilizzata nella produzione delle apparecchiature. In altre parole, tutti i dispositivi prodotti prima della scoperta di questo problema continueranno a utilizzare password predefinite prevedibili, a meno che gli utenti non le modifichino.

L'articolo Vulnerabilità critiche scoperte in centinaia di stampanti Brother e altri produttori proviene da il blog della sicurezza informatica.

rieccomi con qualche piccola e deludente novità. Da ieri pomeriggio ho il tanto agognato contratto!
Inizialmente mi era stato "promesso" un contratto di un anno all'80% . Ero contenta, un giorno in più libero non mi fa schifo, e lo stipendio è sufficiente per me.
Poi però si è tramutato in "per il momento possiamo offrirti solo 9 mesi sempre all'80%", ma niente contratto da 10 giorni...
Infine ieri mi è stato detto che purtroppo per una serie disguidi e malfunzionamenti, il contratto me lo possono fare solo fino a dicembre 2025.

Bah, la mia prima reazione è stata quello di rifiutare.
Poi il mio superiore mi ha chiamata nel suo ufficio, si è scusato mille volte e mi ha spiegato che sta facendo di tutto per tramutare il mio contratto in uno a tempo indeterminato, perché anche se sono lì da poco, ho già dimostrato di essere una valida risorsa, e lui ci tiene a valorizzare le persone meritevoli.
Sono volubile e ho detto ok (anche se, a dire tutta la verità non ho ancora firmato nulla).

Scherzi a parte, fino a dicembre mi terrò questo lavoro, almeno posso pagare l'affitto. Intanto continuo la mia formazione e studio, così da poter seguire i miei sogni. 🙃

Ora vado, parrucchiere, medico e poi giornata in spiaggia (del fiume) con la nipotina! #proudaunt

#lavoro #contratto #delusione

Sempre per capire un po' meglio il posto in cui mi trovo...

Vedo spesso la riga "Filtered language" con vicino Il nome di una lingua e "Reveal/hide".

Se ho capito bene dovrebbe essere il sistema che mi dice "questo contenuto te l'ho nascosto perché è in una lingua che non capiresti però se proprio vuoi, clicca qui e te lo faccio vedere".

Beh... non so se succede anche a voi ma 9 volte su 10 è normalissimo italiano.

Possibile che l'algoritmo che dovrebbe riconoscere le lingue sbagli così tanto?