Mentre alcuni dibattono sui potenziali rischi dell’intelligenza artificiale, altri la stanno integrando con fiducia nella vita di tutti i giorni. L’azienda americana Realbotix , specializzata nello sviluppo di robot umanoidi, ha presentato un importante aggiornamento: ora il suo umanoide parla fluentemente 15 lingue e ne comprende altre 147, grazie a un sistema di elaborazione vocale basato su cloud.

Questa tecnologia è concepita come un ponte tra macchine e persone. Un robot in grado di parlare la lingua madre dell’utente non è solo comodo, ma crea anche l’illusione di una comunicazione reale. Questa caratteristica è particolarmente rilevante per i settori in cui l’empatia e il contatto personale sono fondamentali: turismo, hotel, sanità, musei e persino parchi di divertimento.

Realbotix sottolinea che il multilinguismo permette di stabilire contatti con persone di culture e professioni diverse. La barriera linguistica rimane uno dei principali ostacoli al servizio, e un assistente universale che parla giapponese, arabo, francese, hindi e decine di altre lingue può sostituire decine di specialisti, senza bisogno di riqualificazione né di sostituzioni di personale .La paranoia digitale è il nuovo buon senso.

Un’altra importante innovazione è la possibilità di connettersi a piattaforme di intelligenza artificiale di terze parti. Grazie a questa, lo stesso robot può svolgere ruoli diversi e cimentarsi in centinaia di professioni. Basta semplicemente cambiare lo scenario del software.

Esternamente, l’androide ha un aspetto quasi umano: pelle, espressioni facciali, movimenti realistici. Il suo compito non è solo quello di fornire informazioni, ma di stabilire una sorta di contatto con la persona. In una clinica, ad esempio, può incontrare un paziente, porre domande, coglierne lo stato emotivo e trasmettere i dati al medico, risparmiando tempo e riducendo il carico di lavoro degli infermieri.

In spazi pubblici come hotel, terminal e centri informazioni, un umanoide può sostituire un banco informazioni: spiegare dove si trova l’uscita o il banco del check-in, nel linguaggio giusto e con indicazioni visive. E tutto questo senza affaticamento, errori o cattivo umore.

Gli sviluppatori sottolineano: l’obiettivo non è quello di sostituire le persone, ma di rendere la vita nella società il più confortevole possibile. I robot umanoidi possono compensare la carenza di personale e fornire un livello di servizio stabile. La filosofia di Realbotix è quella di creare tecnologie che rendano l’interazione più calorosa, non più fredda.

Secondo i dati di Research and Markets pubblicati da EE News Europe, il mercato globale dei robot umanoidi crescerà da 2,93 miliardi di dollari nel 2025 a 243,4 miliardi di dollari entro il 2035. Le ragioni di ciò sono la carenza di manodopera, la crescente domanda di automazione e la crescente richiesta di assistenza clienti.

Il costo di un dispositivo di questo tipo varia dai 20.000 ai 175.000 dollari, a seconda delle funzioni. Si tratta di un costo inferiore a quello di molti anni di stipendio nelle grandi città, e il dispositivo non chiederà mai ferie o malattia nel momento più critico.

L'articolo Sorride, parla 15 lingue e non ti risponderà mai ci sentiamo domani perché è fatto di plastica proviene da il blog della sicurezza informatica.

Il primo e più bel concerto della mia vita.

Siamo arrivati a S. Siro alle 15:00, io e un mio amico, a bordo della mia Guzzi V 35 II.

Quando hanno aperto i cancelli siamo corsi sotto al palco poi man mano che il tempo passava ci siamo spostati sempre più indietro in cerca di ombra e abbiamo visto il concerto dalle gradinate di S. Siro.

Casino Royale, poi i Ladri di biciclette e poi lui, Vasco.

Finale indimenticabile, Albachiara, gli accendini accesi, S. Siro è diventato un braciere.

Poi l'organizzazione ha fatto arrivare alle prime file dei dischi di stoffa tipo frisbee, centinaia, la gente ha cominciato a tirarli e lo stadio si è riempito di dischi volanti.

#vasco #SanSiro

[Ryan] purchased a large fume extractor designed to sit on the floor below the work area and pull solder fumes down into its filtering elements. The only drawback to this new filter was that its controls were located near his feet. Rather than kicking at his new equipment, he devised a way to automate it.

By adding a Wemos D1 Mini microcontroller running ESPHome, a relay board, and a small AC-to-DC transformer, [Ryan] can now control the single push button used to cycle through speed settings wirelessly. Including the small transformer inside was a clever touch, as it allows the unit to require only a single power cable while keeping all the newfound smarts hidden inside.

The relay controls the button in parallel, so the physical button still works. Now that the extractor is integrated with Home Assistant, he can automate it. The fan can be controlled via his phone, but even better, he automated it to turn on by monitoring the power draw on the smart outlet his soldering iron is plugged into. When he turns on his iron, the fume extractor automatically kicks in.

Check out some other great automations we’ve featured that take over mundane tasks.

hackaday.com/2025/07/09/solder…

Human Security ha scoperto una campagna pubblicitaria fraudolenta chiamata IconAds. I ricercatori hanno identificato 352 app dannose nel Google Play Store. Secondo gli esperti, tali applicazioni visualizzavano sullo schermo pubblicità intrusive e fuori contesto e nascondevano le loro icone dalla schermata principale del dispositivo, rendendone difficile la rimozione.

Al suo apice, la truffa generava oltre 1,2 miliardi di richieste pubblicitarie al giorno. La stragrande maggioranza del traffico correlato a IconAds proveniva da Brasile, Messico e Stati Uniti. Al momento, tutte le applicazioni infette da IconAds sono già state rimosse dagli specialisti di Google dallo store ufficiale di Android.

IconAds è una variante di una minaccia che viene monitorata anche con altri nomi, tra cui HiddenAds e Vapor. Queste app dannose si sono ripetutamente infiltrate nel Google Play Store almeno dal 2019. I ricercatori scrivono che tali applicazioni condividono una serie di caratteristiche comuni: l’uso dell’offuscamento per nascondere informazioni sul dispositivo durante l’interazione in rete, uno schema di denominazione per i domini C&C e la capacità di sostituire l’attività standard MAIN/LAUNCHER specificando un alias.

“Ciò significa che quando si installa un’app, vengono visualizzati il nome e l’icona predefiniti del collegamento, ma una volta avviata l’app, l’alias dichiarato nel manifest viene attivato e persiste anche dopo un nuovo avvio dell’app o un riavvio del dispositivo”, spiega l’azienda.

Inoltre, sono state osservate alcune varianti delle app IconAds che impersonavano il Google Play Store (o utilizzavano altre icone e nomi di app correlati a Google). Una volta avviate, le vittime venivano reindirizzate all’app ufficiale e l’attività dannosa continuava in background.

Questa campagna ha inoltre introdotto diverse altre innovazioni: il malware ora controlla la licenza per determinare se l’applicazione è stata installata dal Play Store. In caso contrario, l’attività dannosa viene bloccata per evitare il rilevamento durante l’analisi. Inoltre, sono stati aggiunti ulteriori livelli di offuscamento per resistere all’analisi dinamica.

“Molte app correlate a IconAds hanno una vita breve prima di essere rimosse dal Play Store”, hanno affermato i ricercatori. “Date le diverse fasi di evoluzione di questa minaccia, prevediamo che continuerà ad adattarsi, con la pubblicazione di nuove app e l’aggiunta di nuove tecniche di offuscamento”.

L'articolo Scoperta IconAds: 352 app dannose sul Google Play Store inviavano pubblicità intrusive proviene da il blog della sicurezza informatica.

Immaginate un collaboratore digitale che non solo risponde alle vostre domande, ma agisce per voi, pianifica strategie, impara dai propri errori e collabora con altri per risolvere problemi complessi.

Questo è il mondo degli agenti AI, una delle innovazioni più sorprendenti dell’intelligenza artificiale. Ma cosa sono davvero, e come stanno cambiando il nostro modo di vivere e lavorare?

Cosa sono gli agenti IA?

Gli agenti AI sono software basati l’intelligenza artificiale per raggiungere obiettivi specifici, agendo con un certo grado di autonomia. Non sono semplici risponditori automatici, come i chatbot che vediamo su vari siti web, né assistenti vocali come Alexa che eseguono solo comandi di base.

Gli agenti IA possono percepire il loro ambiente (ad esempio, leggendo dati, immagini o testi), ragionare per prendere decisioni, e agire per completare compiti complessi, spesso senza bisogno di supervisione costante. Pensate a un agente AI come a un assistente molto intelligente che, per esempio, può organizzare una campagna di marketing:

• analizza i dati di vendita
• sceglie il pubblico giusto
• crea contenuti personalizzati e pianifica la pubblicazione sui social
• ottimizza il budget

Questo è possibile grazie ai modelli di linguaggio (LLM), come quelli che alimentano ChatGPT, che danno agli agenti la capacità di capire testi, immagini, video e persino codice, combinando queste informazioni per agire in modo intelligente.

Come funzionano?

Gli agenti IA sono come un team ben affiatato, con diverse abilità che lavorano insieme. Secondo un recente articolo di McKinsey, queste sono le loro caratteristiche principali: –

• Percezione: Raccolgono informazioni dall’ambiente, come dati da sensori, testi o immagini. Per esempio, un agente in un magazzino può “vedere” i livelli di inventario tramite un sistema connesso
• Ragionamento: Analizzano i dati, trovano schemi e prendono decisioni logiche. Un agente potrebbe capire che un cliente è insoddisfatto da un’email e proporre una soluzione.
• Azione. Eseguono compiti, come inviare risposte, aggiornare database o controllare dispositivi fisici, come un robot che sposta pacchi.
• Pianificazione: Creano strategie per raggiungere un obiettivo, valutando opzioni e anticipando problemi. Ad esempio, un agente può pianificare una catena di fornitura per evitare ritardi.
• Collaborazione: Lavorano con altri agenti o persone, condividendo informazioni per affrontare compiti complessi, come coordinare un progetto tra più dipartimenti.
• Auto-migliorament. Imparano dall’esperienza, affinando le loro capacità. Un agente che gestisce reclami può diventare più bravo nel tempo a risolvere problemi. Gli agenti IA hanno anche una “memoria” che li aiuta a ricordare interazioni passate, mantenere il contesto e migliorare le loro prestazioni.

Possono usare strumenti esterni come API per accedere a dati in tempo reale o software per eseguire calcoli, rendendoli estremamente versatili.

Agenti IA, assistenti e bot: qual è la differenza?

Non tutti i sistemi IA sono uguali. Ecco come si distinguono, secondo McKinsey e altre fonti: –

• Bot: Seguono regole fisse e svolgono compiti semplici, come rispondere “Grazie per il tuo ordine!” in un negozio online. Non imparano e non decidono da soli.
• Assistenti IA. Come Siri o Google Assistant, rispondono ai tuoi comandi e possono suggerire azioni (es. “Vuoi impostare un promemoria?”), ma dipendono dalle tue istruzioni.
• Agenti IA: Sono più autonomi, capaci di gestire compiti complessi e multistep senza bisogno di input continuo. Possono decidere, pianificare e collaborare. Immaginate un bot come un cameriere che segue un copione, un assistente come un aiutante che ti dà consigli, e un agente IA come un manager che prende l’iniziativa per portare a termine un progetto.

Dove li troviamo?

Gli agenti IA stanno già trasformando il nostro mondo, spesso in modi che non notiamo. Ecco alcuni esempi, ispirati anche da McKinsey:

• Assistenza clienti: In aziende come quelle di telecomunicazioni, gli agenti IA rispondono a migliaia di domande al giorno, risolvendo problemi semplici (es. “Come resetto la password?”) e passando i casi complessi agli operatori umani.
• Catena di fornitura: In magazzini o industrie, ottimizzano le scorte, prevedono la domanda e riducono gli sprechi, come accade in grandi aziende logistiche.
• Sanità: Gli agenti IA analizzano cartelle cliniche per aiutare i medici a diagnosticare malattie o suggerire trattamenti personalizzati, migliorando la precisione.
• Auto a guida autonoma: Nelle vetture di Tesla, gli agenti IA processano dati da sensori e telecamere per navigare in sicurezza.
• Marketing: Creano campagne personalizzate analizzando i dati dei clienti, come fa Amazon quando ti consiglia un prodotto che sembra fatto apposta per te.

Tipi di agenti IA

Gli agenti IA si dividono in base a come interagiscono o al numero di agenti coinvolti

• Agenti interattivi: Chiamati anche “surface agents”, collaborano direttamente con gli utenti, come in un servizio clienti o un’app educativa. Rispondono a domande e offrono supporto personalizzato.
• Agenti in background. Lavorano dietro le quinte, automatizzando processi come l’analisi di dati o l’ottimizzazione di flussi di lavoro, senza interagire direttamente con le persone.
• Agenti singoli. Operano da soli per compiti ben definiti, come gestire un calendario.
• Agenti multipli: Collaborano o competono per raggiungere obiettivi complessi, come un team di agenti che gestisce un progetto aziendale, ognuno con un ruolo specifico.

Perché sono una rivoluzione?

Gli agenti IA portano vantaggi enormi:

• Efficienza: Automatizzano compiti ripetitivi, facendo risparmiare tempo e denaro. Un agente può gestire centinaia di email in pochi minuti.
• Personalizzazione: Offrono soluzioni su misura, come suggerire un piano di allenamento basato sui tuoi obiettivi.
• Innovazione: Risolvono problemi complessi, come monitorare i cambiamenti climatici o ottimizzare reti energetiche, come sottolinea McKinsey.
• Scalabilità: Possono gestire grandi volumi di lavoro, come analizzare milioni di dati per un’azienda.

Le sfide da affrontare Nonostante il potenziale, ci sono ostacoli:

• Privacy: Gli agenti IA usano molti dati personali. Garantire che siano protetti è cruciale, come evidenziato da McKinsey.
• Affidabilità: Un errore in un agente, come in un’auto autonoma, può avere conseguenze serie.
• Accesso: Non tutti hanno le risorse per usare queste tecnologie, rischiando di creare disuguaglianze.
• Impatto sul lavoro: Automatizzano compiti, ma non sostituiranno le persone. Piuttosto, ci spingeranno a imparare nuove competenze, come la gestione di agenti IA.

Il futuro è già qui Gli agenti IA stanno solo iniziando. In futuro, potremmo vedere team di agenti che lavorano insieme, come un’orchestra digitale, per gestire progetti complessi, dalla pianificazione di eventi alla scoperta scientifica.

McKinsey prevede che diventeranno fondamentali per le aziende, trasformando settori come il commercio, la sanità e la logistica. Però, serve responsabilità. Gli sviluppatori devono creare agenti etici e trasparenti, mentre noi dobbiamo usarli con consapevolezza, sapendo che sono strumenti potenti, ma non infallibili.

Conclusione

Gli agenti IA sono come alleati intelligenti che ci aiutano a navigare un mondo sempre più complesso. Che si tratti di semplificare la vostra giornata o di rivoluzionare un’industria, sono qui per rendere tutto più smart e connesso.

La prossima volta che un’app sembra anticipare i vostri bisogni, ricordate: c’è probabilmente un agente IA al lavoro, pronto a darvi una mano. E voi, siete pronti a scoprire cosa possono fare per voi?

L'articolo Gli Agenti AI: La Rivoluzione Intelligente Spiegata a Tutti proviene da il blog della sicurezza informatica.

In questi giorni, sul noto forum underground exploit.in, attualmente chiuso e accessibile solo su invito – sono stati messi in vendita degli exploit per una vulnerabilità di tipo 0day che colpiscono i noti software WinRAR e WinZIP. L’annuncio, pubblicato dall’utente zeroplayer, propone tali exploit tra 80.000 e 100.000 dollari.

Specifica che non si tratta di un semplice 1day (cioè un exploit per una vulnerabilità già nota come CVE-2025-6218), ma di un bug sconosciuto e non ancora patchato.

Cosa sono gli exploit e cosa significa “0day”

Gli exploit sono strumenti o porzioni di codice che permettono di sfruttare vulnerabilità software per ottenere comportamenti non previsti dal programma, come l’esecuzione di codice malevolo, il furto di dati o il controllo completo di un sistema.

Quando parliamo di 0day, intendiamo vulnerabilità che non sono ancora conosciute dal produttore del software e per le quali non esistono patch: proprio per questo motivo sono particolarmente preziose nel mercato nero e incredibilmente pericolose.

Perché i bug su software come WinRAR o ZIP sono così critici

WinZIP e WinRAR sono i software più utilizzati al mondo per la gestione di archivi compressi come file ZIP e RAR. Una vulnerabilità RCE (Remote Code Execution) su questo tipo di programma permette a un attaccante di far eseguire codice malevolo semplicemente inducendo la vittima ad aprire o visualizzare un archivio compromesso.

Un possibile scenario d’attacco prevede l’uso di email di phishing, in cui l’utente riceve un allegato ZIP o RAR apparentemente innocuo. Basta un clic per attivare l’exploit e compromettere completamente il sistema, installando malware, ransomware o backdoor per il controllo remoto.

Il ruolo dei forum underground come exploit.in

Forum chiusi come exploit.in fungono da veri e propri marketplace per la compravendita di vulnerabilità, malware, dati rubati e altri strumenti usati nel cybercrime. Gli utenti che vendono exploit, come nel caso di zeroplayer, spesso offrono garanzie di affidabilità attraverso servizi interni chiamati Garant, che fanno da intermediari per evitare truffe tra criminali.

L’utente zeroplayer, che ha pubblicato gli annunci, appare come un profilo nuovo e ancora privo di una reputazione consolidata. Registrato sul forum exploit.in solo il 30 giugno 2025, conta appena 3 post e non ha ancora concluso transazioni certificate tramite il sistema di Garant interno alla piattaforma, che solitamente serve a ridurre il rischio di truffe tra venditori e acquirenti.

Sebbene abbia effettuato una registrazione a pagamento, pratica comune nei forum underground più chiusi per filtrare account fake e inattivi, questo elemento da solo non basta a definirlo affidabile agli occhi della community. Un account così recente potrebbe indicare due scenari contrapposti: da un lato, un vendor realmente in possesso di un exploit molto prezioso che sceglie di aprire un nuovo profilo per motivi di anonimato; dall’altro, un tentativo di frode per monetizzare la paura attorno a una vulnerabilità critica e ancora sconosciuta. La mancanza di feedback e attività passata rende difficile distinguere tra le due possibilità, ma sottolinea quanto sia complesso — perfino nei circuiti del cybercrime — fidarsi senza prove concrete dell’esistenza e dell’efficacia dell’exploit offerto.

La vendita di un exploit 0day per WinRAR rappresenta una seria minaccia, vista la diffusione globale del software. È un ulteriore richiamo all’importanza di mantenere i programmi sempre aggiornati, usare strumenti di sicurezza affidabili e prestare la massima attenzione alle email sospette, soprattutto se contengono allegati compressi.

L'articolo Exploit RCE 0day per WinRAR e WinZIP in vendita su exploit.in per email di phishing da urlo proviene da il blog della sicurezza informatica.

I #Carabinieri del #ROS (Raggruppamento Operativo speciale) – col supporto in fase esecutiva dei Comandi provinciali dell’Arma territorialmente competenti e dello Squadrone Eliportato Cacciatori "Calabria” – hanno eseguito nelle aree di Roma, Reggio Calabria, Catanzaro, Cosenza, L’Aquila, Latina e Pistoia una misura cautelare in carcere emessa dal G.I.P. del Tribunale capitolino, su richiesta della Procura Distrettuale.

Interessati 28 indagati italiani e albanesi, gravemente indiziati di aver preso parte ad un’associazione criminale di matrice ‘ndranghetista, con base a Roma ed operante nell’intero territorio nazionale.

Il provvedimento si basa sugli elementi acquisiti dal ROS, nell’ambito di indagini dirette dalla Procura della Repubblica – DDA – presso il Tribunale di Roma, su un 57 enne calabrese, già precedentemente condannato in via definitiva per la violazione dell’art. 416 bis Codice Penale, quando fu ritenuto elemento apicale della "locale dii 'ndrangheta" di Volpiano (Torino), promanazione di quella di Platì (Reggio Calabria).

L’uomo, trasferitosi a Roma agli inizi degli anni 2000, aveva assunto il controllo del quartiere capitolino di San Basilio, promuovendo la nascita di un’associazione composta, tra gli altri, anche dai tre figli, con legami stabili con una paritetica struttura criminale albanese, utilizzata per gli aspetti logistici (estrazione dei carichi dai porti spagnoli e olandesi nonché per il successivo trasporto) e per lo smercio del narcotico in altre zone della Capitale.

La cocaina veniva acquisita in Sud America e fatta giungere, tramite container in alcuni porti della Spagna, a Rotterdam (Olanda) e a quello di Gioia Tauro (Reggio Calabria), anche sfruttando l’interazione con altri broker calabresi, per poi giungere sul mercato romano dove veniva smerciata al dettaglio.

Nel complesso sono stati contestati agli indagati 80 capi di imputazione per operazioni di traffico per oltre 1 tonnellata di cocaina e per 1.497 chili di hashish, nonché un episodio di tortura aggravata dal metodo mafioso, contestato a 4 indagati italiani, gravemente indiziati di avere privato della libertà personale uno spacciatore, cagionandogli sofferenze fisiche e un trauma psichico. Le torture inferte, secondo l’accusa, sono state riprese con un telefonino, per diffonderne successivamente il video al fine di generare nella vittima e nei soggetti dediti alle attività di smercio di sostanze stupefacente in zona San Basilio, sentimenti di paura, omertà e assoggettamento al volere del gruppo criminale.

Il complesso scenario emergente dall’attività investigativa ha consentito di accertare l’impiego sistematico da parte degli indagati di sofisticati sistemi criptofonici utilizzati per le comunicazioni operative e per eludere le attività di controllo. Tali dispositivi venivano approvvigionati attraverso una vera e propria centrale di smistamento, individuata a Roma e facente capo ad un 46enne albanese colpito anch’egli dalla misura cautelare per aver concorso nell’associazione.

L’attività investigativa – grazie alla estesa cooperazione internazionale avviata – ha consentito di localizzare in Spagna 5 latitanti per reati materia di stupefacenti il cui arresto, su indicazione del ROS, è stato eseguito dalle autorità di polizia locali.

Complessivamente, l’attività investigativa, conclusa con l’emissione di 28 provvedimenti cautelari detentivi, 6 interrogatori preventivi, l’arresto in flagranza di reato di 11 soggetti, nonché, all’estero, di 5 latitanti ed il sequestro di ingenti quantitativi di stupefacente (per lo più cocaina ed hashish), ha confermato:

- L’infiltrazione del territorio romano di organizzazioni, dedite al narcotraffico, di matrice ‘ndranghetista
- L’alleanza, ormai strutturale, nello specifico settore, tra la ‘ndrangheta e paritetiche organizzazioni criminali albanesi che, forti della loro ramificazione in molti paesi europei e non solo, garantiscono canali alternativi di approvvigionamento e, soprattutto, la possibilità di utilizzare porti stranieri, ove esercitano il loro controllo, per diversificare le narco-rotte
- La centralità del Porto di Gioia Tauro per le importazioni di cocaina
- L’esistenza di accordi/regole che consentono a organizzazioni di diversa matrice di spartirsi le più redditizie aree di smercio del narcotico nella Capitale
- L’utilizzo sistemico di strumenti tecnologici evoluti e non direttamente intercettabili, per le comunicazioni operative.

Le attività investigative, dirette dalla Procura della Repubblica – Direzione Distrettuale Antimafia di Roma, sono state condotte in cooperazione internazionale con diverse Polizie estere e sono state supportate dalla Direzione Centrale per i Servizi Antidroga (#DCSA), dal Servizio di Cooperazione Internazionale di Polizia (#SCIP), da #Interpol- Progetto I-CAN (#ICAN), dalla rete @net (#onnet) della #DIA, nonché dalle Agenzie #Europol e #Eurojust.

@Notizie dall'Italia e dal mondo

The volume slider on our virtual desktops is a skeuomorphic callback to the volume sliders on professional audio equipment on actual, physical desktops. [Maker Vibe] decided that this skeuomorphism was so last century, and made himself a physical audio control box for his PC.

Since he has three audio outputs he needs to consider, the peripheral he creates could conceivably be called a fader. It certainly has that look, anyway: each output is controlled by a volume slider — connected to a linear potentiometer — and a mute button. Seeing a linear potentiometer used for volume control threw us for a second, until we remembered this was for the computer’s volume control, not an actual volume control circuit. The computer’s volume slider already does the logarithmic conversion. A Seeed Studio Xiao ESP32S3 lives at the heart of this thing, emulating a Bluetooth gamepad using a library by LemmingDev. A trio of LEDs round out the electronics to provide an indicator for which audio channels are muted or active.

Those Bluetooth signals are interpreted by a Python script feeding a software called Voicmeeter Banana, because [Maker Vibe] uses Windows, and Redmond’s finest operating system doesn’t expose audio controls in an easily-accessible way. Voicmeeter Banana (and its attendant Python script) takes care of telling Windows what to do.

The whole setup lives on [Maker Vibe]’s desk in a handsome 3D printed box. He used a Circuit vinyl cutter to cut out masks so he could airbrush different colours onto the print after sanding down the layer lines. That’s another one for the archive of how to make front panels.

If volume sliders aren’t doing it for you, perhaps you’d prefer tocontrol your audio with a conductor’s baton.

youtube.com/embed/e0OYAANYKug?…

hackaday.com/2025/07/09/volume…

[Cal Bryant] hacked together a home automation system years ago, which more recently utilizes Piper TTS (text-to-speech) voices for various undisclosed purposes. Not satisfied with the robotic-sounding standard voices available, [Cal] set about an experiment to fine-tune the Piper TTS AI voice model using a clone of a single phrase created by a commercial TTS voice as a starting point.

Before the release of Piper TTS in 2023, existing free-to-use TTS systems such as espeak and Festival sounded robotic and flat. Piper delivered much more natural-sounding output, without requiring massive resources to run. To change the voice style, the Piper AI model can be either retrained from scratch or fine-tuned with less effort. In the latter case, the problem to be solved first was how to generate the necessary volume of training phrases to run the fine-tuning of Piper’s AI model. This was solved using a heavyweight AI model, ChatterBox, which is capable of so-called zero-shot training. Check out the Chatterbox demo here.
As the loss function gets smaller, the model’s accuracy gets better
Training began with a corpus of test phrases in text format to ensure decent coverage of everyday English. [Cal] used ChatterBox to clone audio from a single test phrase generated by a ‘mystery TTS system’ and created 1,300 test phrases from this new voice. This audio set served as training data to fine-tune the Piper AI model on the lashed-up GPU rig.

To verify accuracy, [Cal] used OpenAI’s Whisper software to transcribe the audio back to text, in order to compare with the original text corpus. To overcome issues with punctuation and differences between US and UK English, the text was converted into phonemes using espeak-ng, resulting in a 98% phrase matching accuracy.

After down-sampling the training set using SoX, it was ready for the Piper TTS training system. Despite all the preparation, running the software felt anticlimactic. A few inconsistencies in the dataset necessitated the removal of some data points. After five days of training parked outside in the shade due to concerns about heat, TensorBoard indicated that the model’s loss function was converging. That’s AI-speak for: the model was tuned and ready for action! We think it sounds pretty slick.

If all this new-fangled AI speech synthesis is too complex and, well, a bit creepy for you, may we offer a more 1980s solution to making stuff talk? Finally, most people take the ability to speak for granted, until they can no longer do so. Here’s a team using cutting-edge AI to give people back that ability.

hackaday.com/2025/07/09/how-to…

Tom Hayden never intended to become a journalist. But in the midst of the COVID-19 pandemic, Hayden decided to look into how his local school district in Evanston, Illinois, was making decisions about when to send kids back to school.

It was a contentious issue in town and deserved journalistic inquiry. But Hayden realized the decline of local media left a void that someone needed to fill. So he decided to step up and launch his Substack newsletter FOIA Gras, which as the name implies, focused on public records-based, Freedom of Information Act-related reporting.

“Ten years ago, a board meeting would have had reporters from suburban beats that are all gone now,” Hayden said. “Now, you just see the high school beat reporter.”

Hayden’s side gig as a journalist was a big success, and his focus expanded beyond pandemic issues. “Our local board initially hated me, but now they consider me like their inspector general,” Hayden said in March. “I’m able to get records that they don’t even know about. I break stories to them about lawsuits that they don’t even know about.”

But soon after we spoke, and after he completed his coverage of Evanston’s school board elections, Hayden announced that he was ending his experiment with citizen journalism. “It’s rendered a considerable toll on my mental well-being, my professional day-to-day career, my finances, and my relationships. I always told myself if the fun is gone, I can walk away, and the fun is gone,” he wrote.

‘Throwing darts’ at public records

Hayden was familiar with FOIA requests before venturing into journalism, from seeking records as part of his day job in the corrosion industry. So, when families started moving out of Evanston to nearby towns where schools had reopened, Hayden put on his citizen-journalist hat and started pulling records.

“I started kind of just throwing darts, looking mainly at lists of public records from the board meetings, which are public, and they immediately hit,” Hayden said.

Under Illinois’ public records laws, requesters are not charged fees for most records requests (aside from copying costs for large document sets). It’s a powerful law, Hayden said, as long as you are diligent and know what you are looking for.

“Our local board initially hated me, but now they consider me like their inspector general. I’m able to get records that they don’t even know about.”

Tom Hayden

Hayden said the records he requested showed that then-superintendent Devon Horton had been misappropriating funds and steering contracts to business partners, misleading Evanstonians about financing for a school in Evanston’s Fifth Ward, and more.

With longstanding disparities in achievement gaps and funding, Hayden felt that Horton had used promises of championing diversity to divide the public rather than address the issues. “Equity is about lifting oppressed communities, not using them as a shoulder to lift yourself to a better job,” he wrote.

Hayden said he intended to use the truth to “try to find a way to bridge the people in this town that have political street fights over this.” Instead of bickering, he thought, “Let’s go get the actual records.”

To do so, Hayden launched FOIA Gras. Quickly, Hayden became a go-to source for Evanstonians to find out what was happening in the board meetings and within the district, for parents and board members alike.

A fork in the road

As a citizen journalist and his own boss, Hayden was able to set his own parameters. Despite the success of the newsletter, however, Hayden announced he was closing down FOIA Gras in April, when the work outweighed the fun and backlash against his editorial choices started affecting his personal life.

“Ultimately, for me, I sort of reached the point where this project reached a fork in the road,” Hayden said, “where I have to decide, ‘Am I a professional journalist, or am I a citizen-journalist-slash-parent-slash-community-member?’”

In one particular case, in 2022, a middle schooler was caught making nooses out of jump ropes outside of a school while a protest was going on inside over some teachers being transferred. The incident blew up in Evanston, but Hayden decided not to cover it at the time to protect the children’s identities.

“The reality is that nobody knows why the student did it,” Hayden said, but the incident became part of a narrative around a school anti-racism initiative.

Hayden FOIA’d a copy of the associated police report, which he said police provided, but improperly, because it contained information on a minor.

“The incentives are broken. This is a massive national issue — there is very little money in the pursuit of truth.”

Tom Hayden

After obtaining the report, Hayden reached out to the parents involved for comment and began writing a story about the district’s response to the nooses incident. Through his reporting, Hayden became uncomfortable continuing to report on a story based on speculation and decided to stop. Unfortunately, that made some of his readers angry.

One parent “reached out to me as a source and provided me some information about his child, who was only tangentially involved, but not the kid who made the nooses,” Hayden said. But the parent then provided the story to a national outlet, The Free Press, because, said Hayden, it fit its agenda of having “anti-woke stories.” That outlet ultimately ran the story.

“Very little money in the pursuit of truth”

The Free Press reported that, according to its sources, the child who made the noose was dealing with mental health issues and didn’t know about the racial connotations of hanging nooses. It accused Superintendent Horton of turning a child’s cry for help into a self-promotion opportunity during the peak of the Black Lives Matter movement. It framed Evanston — known for the country’s first municipal reparations program, among other racial justice initiatives — as an example of wokeness going too far (not long after the article, the Trump administration launched an investigation of the school district).

The drama surrounding the noose incident and Free Press article was the straw that broke the camel’s back for Hayden. People began ascribing nefarious motives to his decision not to cover the story, when in reality he just didn’t want to contribute to putting middle schoolers in the middle of a public spectacle. Hayden decided he’d close down FOIA Gras after the school board election in April. He continues to both work full-time and teach data governance at Northwestern University.

“There’s a set of ethical rules that a professional journalist has to follow, especially when it comes to editorial decisions and injecting my own opinion into stories,” Hayden said. “I just reached that fork in the road.” His preference was always to report on verifiable data — that’s why he felt so at home with FOIA. But fact-based reporting wasn’t enough for his readers, and the aforementioned “political street fights” continued despite his efforts.

Ultimately, despite the important news he broke, the experience left Hayden cynical about the future of the profession he dabbled in. “I don’t feel good about the future of journalism,” he wrote in his departing announcement. “The incentives are broken,” Hayden said. “This is a massive national issue — there is very little money in the pursuit of truth.”

This is fourth in a series of profiles of independent journalists who use public records to hold local governments accountable. The third, about Michelle Pitcher’s reporting on the Texas criminal justice system, is here. The second, about Hannah Bassett of the Arizona Center for Investigative Reporting, is here. The first, about Lisa Pickoff-White of the California Reporting Project, is here.

freedom.press/issues/the-rise-…

We always enjoy [FloatHeadPhysics] explaining any math or physics topic. We don’t know if he’s acting or not, but he seems genuinely excited about every topic he covers, and it is infectious. He also has entertaining imaginary conversations with people like Feynman and Einstein. His recent video on tensors begins by showing the vector form of Ohm’s law, making it even more interesting. Check out the video below.

If you ever thought you could use fewer numbers for many tensor calculations, [FloatHeadPhysics] had the same idea. Luckily, imaginary Feynman explains why this isn’t right, and the answer shows the basic nature of why people use tensors.

The spoiler: vectors and even scalars are just a special case of tensors, so you use tensors all the time, you just don’t realize it. He works through other examples, including an orbital satellite and a hydroelectric dam.

We love videos that help us have aha moments about complex math or physics. It is easy to spew formulas, but there’s no substitute for having a “feeling” about how things work.

The last time we checked in with [FloatHeadPhysics], he convinced us we were already travelling at the speed of light. We’ve looked at a simple tensor explainer before, if you want a second approach.

youtube.com/embed/k2FP-T6S1x0?…

hackaday.com/2025/07/09/no-ten…

This week Jonathan chats with Joseph P. De Veaugh-Geiss about KDE’s eco initiative and the End of 10 campaign! Is Open Source really a win for environmentalism? How does the End of 10 campaign tie in? And what does Pewdiepie have to do with it? Watch to find out!

• * End Of 10 campaign: endof10.org/
• * KDE Eco project: eco.kde.org/

youtube.com/embed/COdArYxZWgg?…

Did you know you can watch the live recording of the show right on our YouTube Channel? Have someone you’d like us to interview? Let us know, or contact the guest and have them contact us! Take a look at the schedule here.

play.libsyn.com/embed/episode/…

Direct Download in DRM-free MP3.

If you’d rather read along, here’s the transcript for this week’s episode.

Places to follow the FLOSS Weekly Podcast:

• Spotify
• RSS

Theme music: “Newer Wave” Kevin MacLeod (incompetech.com)

Licensed under Creative Commons: By Attribution 4.0 License

hackaday.com/2025/07/09/floss-…

Questo mese, gli sviluppatori Microsoft hanno corretto 137 vulnerabilità nell’ambito del Patch Tuesday. Nessuno di questi bug è stato utilizzato in attacchi, ma i dettagli di una vulnerabilità zero-day in Microsoft SQL Server sono stati resi pubblici prima del rilascio della patch.

In totale, a luglio sono state risolte 14 vulnerabilità critiche, dieci delle quali riguardavano problemi di esecuzione di codice in modalità remota, una era un problema di divulgazione di informazioni e due erano correlate ad attacchi side-channel su AMD. L’unica vulnerabilità pubblicata prima del rilascio della fix è stata scoperta in Microsoft SQL Server.

Ricordiamo che Microsoft classifica come 0-day:

• Vulnerabilità che vengono già sfruttate (“exploited in the wild”) prima che l’azienda rilasci una patch.
• Oppure vulnerabilità rese pubbliche (ad esempio da ricercatori o gruppi hacker) senza che ci sia ancora una correzione ufficiale.

E tale definizione va in contrasto con il concetto classico di vulnerabilità 0day che significa una falla di sicurezza per la quale non esiste ancora una patch ufficiale al momento in cui viene scoperta o sfruttata attivamente.

Il CVE-2025-49719 è un problema di divulgazione di informazioni in Microsoft SQL Server. Il problema potrebbe consentire a un aggressore remoto e non autenticato di accedere ai dati da una memoria non inizializzata. “Una convalida impropria degli input in SQL Server potrebbe consentire a un aggressore non autorizzato di divulgare informazioni”, ha spiegato Microsoft. Gli amministratori possono mitigare la vulnerabilità installando la versione più recente di Microsoft SQL Server e Microsoft OLE DB Driver 18 o 19.

Si noti inoltre che questo mese Microsoft ha corretto una serie di bug RCE critici in Microsoft Office (tra cui CVE-2025-49695 , CVE-2025-49696 , CVE-2025-49697 e CVE-2025-49702 ) che possono essere sfruttati semplicemente aprendo un documento creato appositamente o tramite il riquadro di anteprima. Gli sviluppatori sottolineano che le patch per questi problemi non sono ancora disponibili in Microsoft Office LTSC per Mac 2021 e 2024 e dovrebbero essere rilasciate a breve.

Inoltre, Microsoft ha corretto una vulnerabilità RCE critica in Microsoft SharePoint (CVE-2025-49704) che potrebbe essere sfruttata su Internet semplicemente avendo un account sulla piattaforma. Il punteggio CVSS più alto di questo mese (9,8 punti) è stato ottenuto da un altro bug critico: CVE-2025-47981. Questo errore viola i protocolli di sicurezza Microsoft Simple and Protected GSS-API Negotiation Mechanism (SPNEGO) utilizzando un overflow del buffer heap, che consente l’esecuzione di codice remoto.

Un bug nei componenti del file system NTFS ha permesso a un aggressore di aggirare i meccanismi di difesa di Windows. Una potenziale vittima avrebbe dovuto solo aprire un disco virtuale appositamente predisposto affinché l’aggressore potesse sfruttare la vulnerabilità e ottenere il pieno controllo del sistema. “Per sfruttare la vulnerabilità CVE-2025-49686, un aggressore non avrebbe bisogno di aumentare i privilegi di sistema o di ottenere diritti di accesso speciali. Basterebbe indurre l’utente a eseguire un programma dannoso che sfrutta una vulnerabilità nel driver che garantisce la comunicazione tra i dispositivi in rete. Poiché l’errore ha causato l’accesso tramite un puntatore errato, potrebbe causare una chiusura anomala del programma e, di conseguenza, un errore di sistema. Di conseguenza, l’accesso alle risorse aziendali sarebbe limitato, il che potrebbe potenzialmente compromettere le operazioni dell’organizzazione”.

L'articolo Microsoft Corregge 137 Vulnerabilità nel Patch Tuesday di Luglio. Nessuna sotto attacco attivo proviene da il blog della sicurezza informatica.

It should probably come as no surprise to anyone that the images which we look at every day – whether printed or on a display – are simply illusions. That cat picture isn’t actually a cat, but rather a collection of dots that when looked at from far enough away tricks our brain into thinking that we are indeed looking at a two-dimensional cat and happily fills in the blanks. These dots can use the full CMYK color model for prints, RGB(A) for digital images or a limited color space including greyscale.

Perhaps more interesting is the use of dithering to further trick the mind into seeing things that aren’t truly there by adding noise. Simply put, dithering is the process of adding noise to reduce quantization error, which in images shows up as artefacts like color banding. Within the field of digital audio dithering is also used, for similar reasons. Part of the process of going from an analog signal to a digital one involves throwing away data that falls outside the sampling rate and quantization depth.

By adding dithering noise these quantization errors are smoothed out, with the final effect depending on the dithering algorithm used.

The Digital Era

Plot of a quantized signal and its error. (Source: Wikimedia)
For most of history, humanity’s methods of visual-auditory recording and reproduction were analog, starting with methods like drawing and painting. Until fairly recently reproducing music required you to assemble skilled artists, until the arrival of analog recording and playback technologies. Then suddenly, with the rise of computer technology in the second half of the 20th century we gained the ability to not only perform analog-to-digital conversion, but also store the resulting digital format in a way that promised near-perfect reproduction.

Digital optical discs and tapes found themselves competing with analog formats like the compact cassette and vinyl records. While video and photos remained analog for a long time in the form of VHS tapes and film, eventually these all gave way to the fully digital world of digital cameras, JPEGs, PNGs, DVDs and MPEG. Despite the theoretical pixel- and note-perfect reproduction of digital formats, considerations like sampling speed (Nyquist frequency) and the aforementioned quantization errors mean a range of new headaches to address.

That said, the first use of dithering was actually in the 19th century, when newspapers and other printed media were looking to print phots without the hassle of having a woodcut or engraving made. This led to the invention of halftone printing.

Polka Dots

Left: halftone dot pattern with increasing size downwards, Right: how the human eye would see this, when viewed from a sufficient distance. (Source: Wikimedia)
With early printing methods, illustrations were limited to an all-or-nothing approach with their ink coverage. This obviously meant serious limitations when it came to more detailed illustrations and photographs, until the arrival of the halftone printing method. First patented in 1852 by William Fox Talbot, his approach used a special screen to break down an image into discrete points on a photographic plate. After developing this into a printing plate, these plates would then print this pattern of differently sized points.

Although the exact halftone printing methods were refined over the following decades, the basic principle remains the same to this day: by varying the size of the dot and the surrounding empty (white) space, the perceived brightness changes. When this method got extended to color prints with the CMYK color model, the resulting printing of these three colors as adjoining dots allowed for full-color photographs to be printed in newspapers and magazines despite having only so few ink colors available.

While it’s also possible to do CMYK printing with blending of the inks, as in e.g. inkjet printers, this comes with some disadvantages especially when printing on thin, low-quality paper, such as that used for newspapers, as the ink saturation can cause the paper to rip and distort. This makes CMYK and monochrome dithering still a popular technique for newspapers and similar low-fidelity applications.

Color Palettes

In an ideal world, every image would have an unlimited color depth. Unfortunately we sometimes have to adapt to a narrower color space, such as when converting to the Graphics Interchange Format (GIF), which is limited to 8 bits per pixel. This 1987-era and still very popular format thus provides an astounding 256 possible colors -albeit from a full 24-bit color space – which poses a bit of a challenge when using a 24-bit PNG or similar format as the source. Simply reducing the bit depth causes horrible color banding, which means that we should use dithering to ease these sharp transitions, like the very common Floyd-Steinberg dithering algorithm:
From left to right: original image. Converted to web safe color. Web safe with Floyd-Steinberg dithering. (Source: Wikipedia)
The Floyd-Steinberg dithering algorithm was created in 1976 by Robert W. Floyd and Louis Steinberg. Its approach to dithering is based on error diffusion, meaning that it takes the quantization error that causes the sharp banding and distributes it across neighboring pixels. This way transitions are less abrupt, even if it means that there is noticeable image degradation (i.e. noise) compared to the original.

This algorithm is quite straightforward, working its way down the image one pixel at a time without affecting previously processed pixels. After obtaining the current pixel’s quantization error, this is distributed across the subsequent pixels following and below the current one, as in the below pseudo code:
for each y from top to bottom do
for each x from left to right do
oldpixel := pixels[x]
[y] newpixel := find_closest_palette_color(oldpixel)
pixels[x][y] := newpixel
quant_error := oldpixel - newpixel
pixels[x + 1][y ] := pixels[x + 1][y ] + quant_error × 7 / 16
pixels[x - 1][y + 1] := pixels[x - 1][y + 1] + quant_error × 3 / 16
pixels[x ][y + 1] := pixels[x ][y + 1] + quant_error × 5 / 16
pixels[x + 1][y + 1] := pixels[x + 1][y + 1] + quant_error × 1 / 16

The implementation of the find_closest_palette_color() function is key here, with for a greyscale image a simple round(oldpixel / 255) sufficing, or trunc(oldpixel + 0.5) as suggested in this CS 559 course material from 2000 by the Universe of Wisconsin-Madison.

As basic as Floyd-Steinberg is, it’s still commonly used today due to the good results that it gives with fairly minimal effort. Which is not to say that there aren’t other dithering algorithms out there, with the Wikipedia entry on dithering helpfully pointing out a number of alternatives, both within the same error diffusion category as well as other categories like ordered dithering. In the case of ordered dithering there is a distinct crosshatch pattern that is both very recognizable and potentially off-putting.

Dithering is of course performed here to compensate for a lack of bit-depth, meaning that it will never look as good as the original image, but the less obnoxious the resulting artefacts are, the better.

Dithering With Audio

Although at first glance dithering with digital audio seems far removed from dithering the quantization error with images, the same principles apply here. When for example the original recording has to be downsampled to CD-quality (i.e. 16-bit) audio, we can either round or truncate the original samples to get the desired sample size, but we’d get distortion in either case. This distortion is highly noticeable by the human ear as the quantization errors create new frequencies and harmonics, this is quite noticeable in the 16- to 6-bit downsampling examples provided in the Wikipedia entry.

In the sample with dithering, there is clearly noise audible, but the original signal (a sine wave) now sounds pretty close to the original signal. This is done through the adding of random noise to each sample by randomly rounding up or down and counting on the average. Although random noise is clearly audible in the final result, it’s significantly better than the undithered version.

Random noise distribution is also possible with images, but more refined methods tend to give better results. For audio processing there are alternative noise distributions and noise shaping approaches.

Regardless of which dither method is being applied, it remains fascinating how the humble printing press and quantization errors have led to so many different ways to trick the human eye and ear into accepting lower fidelity content. As many of the technical limitations that existed during the time of their conception – such as expensive storage and low bandwidth – have now mostly vanished, it will be interesting to see how dithering usage evolves over the coming years and decades.

Featured image: “JJN Dithering” from [Tanner Helland]’s great dithering writeup.

hackaday.com/2025/07/09/dither…

If you are a certain age, you probably remember the ads and publicity around Chisanbop — the supposed ancient art of Korean finger math. Was it Korean? Sort of. Was it faster than a calculator? Sort of. [Chris Staecker] offers a great look at Chisanbop, not just how to do it, but also how it became such a significant cultural phenomenon. Take a look at the video below. Long, but worth it.

Technically, the idea is fairly simple. Your right-hand thumb is worth 5, and each finger is worth 1. So to identify 8, you hold down your thumb and the first three digits. The left hand has the same arrangement, but everything is worth ten times the right hand, so the thumb is 50, and each digit is worth 10.

With a little work, it is easy to count and add using this method. Subtraction is just the reverse. As you might expect, multiplication is just repeated addition. But the real story here isn’t how to do Chisanbop. It is more the story of how a Korean immigrant’s system went viral decades before the advent of social media.

You can argue that this is a shortcut that hurts math understanding. Or, you could argue the reverse. However, the truth is that this was around the time the calculator became widely available. Math education would shift from focusing on getting the right answer to understanding the underlying concepts. In a world where adding ten 6-digit numbers is easy with a $5 device, being able to do it with your fingers isn’t necessarily a valuable skill.

If you enjoy unconventional math methods, you may appreciate peasant multiplication.

youtube.com/embed/Rsaf4ncxlyA?…

hackaday.com/2025/07/09/kids-v…

Il CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane.

Ora la situazione si fa più seria in quanto gli exploit PoC per la vulnerabilità critica Citrix Bleed 2 (CVE-2025-5777) stanno comparendo diffusamente su internet e la caccia ha davvero inizio. I ricercatori avvertono che la vulnerabilità può essere facilmente sfruttata e che i token di sessione utente possono essere rubati.

Il bug di sicurezza Citrix NetScaler ADC e NetScaler Gateway è stata denominata Citrix Bleed 2 perché è simile a un problema del 2023 che consentiva ad aggressori non autenticati di dirottare i cookie della sessione di autenticazione sui dispositivi vulnerabili.

Come ha spiegato Kevin Beaumont, noto esperto di sicurezza informatica che ha dato il nome al nuovo problema, si tratta di una vulnerabilità simile a quella di Citrix Bleed (CVE-2023-4966),support.citrix.com/article/CTX…sfruttata attivamente dagli hacker, tra cui gruppi ransomware e “governativi”, diversi anni fa .

Una vulnerabilità di lettura fuori limite interessa i dispositivi NetScaler configurati come gateway: server virtuale VPN, proxy ICA, VPN clientless (CVPN), proxy RDP o server virtuale AAA. La vulnerabilità consente agli aggressori di ottenere il contenuto della memoria semplicemente creando richieste POST malformate durante i tentativi di accesso.

Gli sviluppatori di Citrix hanno rilasciato patch e hanno vivamente raccomandato agli amministratori di terminare tutte le sessioni ICA e PCoIP attive dopo l’aggiornamento per impedire a potenziali aggressori di accedere a sessioni dirottate. Citrix ha fornito consigli simili per il Citrix Bleed originale.

Come spiegano ora gli esperti di watchTowr e Horizon3, che hanno pubblicato analisi tecniche della vulnerabilità, il problema può essere sfruttato inviando richieste di accesso malformate in cui il parametro login= viene modificato in modo da essere passato senza segno di uguale o valore. Di conseguenza, il dispositivo NetScaler visualizza il contenuto della memoria fino al primo byte zero nella sezione del corpo della risposta.

Secondo i ricercatori, il bug è causato dall’utilizzo della funzione snprintf insieme a una stringa di formato contenente %.*s, che causa una perdita di memoria. Ogni richiesta perde circa 127 byte. Tuttavia, gli aggressori possono effettuare richieste ripetute per estrarre dati aggiuntivi. I ricercatori di Horizon3 hanno dimostrato in un video che la vulnerabilità può essere sfruttata per rubare i token delle sessioni utente, sebbene i ricercatori di watchTowr non abbiano avuto successo nei loro tentativi.

Le dichiarazioni dell’azienda sono contestate anche dal già citato Kevin Beaumont. Il ricercatore scrive che la vulnerabilità è stata sfruttata attivamente da metà giugno e che gli aggressori la utilizzano per estrarre dati dalla memoria e intercettare le sessioni. “Il supporto di Citrix non rivela alcun indicatore di compromissione e afferma erroneamente (di nuovo, come nel caso del Citrix Bleed originale) che non ci sono exploit. Citrix deve intervenire, sta danneggiando i suoi clienti”, ha scritto Beaumont.

L'articolo Gli Exploit per Citrix Bleed2 sono online! Aggiornare immediatamente, la caccia è iniziata proviene da il blog della sicurezza informatica.