Recentemente, è stata rinvenuta in rete una Proof of Concept (POC) per una vulnerabilità identificata come CVE-2024-34102, che colpisce le piattaforme di e-commerce Magento e Adobe Commerce. Questa vulnerabilità, rilevata dagli esperti di sicurezza di Assetnote, rappresenta una minaccia significativa poiché consente attacchi di XML entity injection senza autenticazione.

Descrizione della Vulnerabilità

La CVE-2024-34102 è una vulnerabilità di tipo XML entity injection che può essere sfruttata prima della fase di autenticazione, rendendola particolarmente pericolosa. Le piattaforme di e-commerce come Magento e Adobe Commerce sono ampiamente utilizzate per la gestione di negozi online, e una falla di questo tipo potrebbe esporre numerosi dati sensibili e compromettere la sicurezza dei server coinvolti.

Dettagli Tecnici

L’attacco sfrutta la capacità di un sistema di parsing XML di elaborare entità esterne, che consente a un attaccante di indurre il server a leggere file locali o a effettuare richieste verso altre risorse di rete. In questo specifico caso, la POC tenta di leggere file dai server target che sono vulnerabili alla CVE-2024-34102.

Questo tipo di attacco può portare a esposizioni di dati sensibili, inclusi file di configurazione, chiavi di accesso e altre informazioni critiche che possono compromettere ulteriormente la sicurezza del sistema.

Implicazioni di Sicurezza

L’impatto di questa vulnerabilità è considerevole. Un attaccante che riesce a sfruttare con successo questa falla potrebbe:

1. Accedere a file sensibili sul server vulnerabile.
2. Raccogliere informazioni critiche che possono essere utilizzate per ulteriori attacchi.
3. Compromettere la riservatezza, l’integrità e la disponibilità dei dati gestiti dal sistema di e-commerce.
4. Effettuare movimenti laterali all’interno della rete aziendale, aumentando il rischio di compromissioni più ampie.

Misure di Mitigazione

Per mitigare il rischio associato a questa vulnerabilità, è fondamentale adottare le seguenti misure:

1. Aggiornamento dei Sistemi: Assicurarsi che tutte le installazioni di Magento e Adobe Commerce siano aggiornate con le ultime patch di sicurezza rilasciate dai rispettivi fornitori.
2. Configurazione Sicura del Parser XML: Disabilitare la risoluzione delle entità esterne (External Entity Resolution) nel parser XML utilizzato dal sistema.
3. Monitoraggio dei Log: Implementare un sistema di monitoraggio dei log per rilevare attività sospette che potrebbero indicare tentativi di sfruttamento della vulnerabilità.
4. Isolamento dei Server: Isolare i server di produzione per limitare il potenziale impatto di una compromissione.

Conclusioni

La scoperta della POC per la vulnerabilità CVE-2024-34102 evidenzia ancora una volta l’importanza della sicurezza nelle piattaforme di e-commerce. Gli amministratori di sistema devono essere proattivi nell’applicazione delle patch di sicurezza e nella configurazione corretta dei propri ambienti per prevenire attacchi di questo tipo. La collaborazione con esperti di sicurezza e la continua formazione del personale addetto alla gestione dei sistemi possono contribuire significativamente a ridurre i rischi associati a queste minacce.

In conclusione, mentre le tecnologie continuano a evolversi, le vulnerabilità di sicurezza rimangono una sfida costante. La comunità IT deve rimanere vigile e reattiva per proteggere le risorse digitali e mantenere la fiducia dei propri utenti.

L'articolo Identificato POC per la Vulnerabilità CVE-2024-34102 in Magento / Adobe Commerce proviene da il blog della sicurezza informatica.

Last week, [Al Williams] wrote up a his experience with a book that provided almost too much detailed information on how to build a DIY x-ray machine for his (then) young soul to bear. He almost had to build it! Where the “almost” is probably both a bummer because he didn’t have an x-ray machine as a kid, but also a great good because it was a super dangerous build, of a typical sort for the 1950s in which it was published.

Part of me really loves the matter-of-factness with which “A Boy’s First Book of Linear Accelerators” tells you how you (yes you!) can build a 500 kV van der Graff generator. But at the same time, modern me does find the lack of safety precautions in many of these mid-century books to be a little bit spooky. Contrast this with modern books where sometimes I get the feeling that the publisher’s legal team won’t let us read about folding paper airplanes for fear of getting cut.

A number of us have built dangerous projects in our lives, and many of us have gotten away with it. Part of the reason that many of us are still here is that we understood the dangers, but I would be lying if I said that I always fully understood them. But thinking about the dangers is still our first and best line of defense. Humility about how well you understand all of the dangers of a certain project is also very healthy – if you go into it keeping an eye out for the unknown unknowns, you’re in better shape.

Safety isn’t avoiding danger, but rather minimizing it. When we publish dangerous hacks, we really try to at least highlight the most important hazards so that you know what to look out for. And over the years, I’ve learned a ton of interesting safety tricks from the comments and fellow hackers alike. My ideal, then, is the spirit of the 1950s x-ray book, which encourages you to get the hack built, but modernized so that it tells you where the dangers lie and how to handle them. If you’re shooting electrons, shouldn’t the book also tell you how to stay out of the way?

This article is part of the Hackaday.com newsletter, delivered every seven days for each of the last 200+ weeks. It also includes our favorite articles from the last seven days that you can see on the web version of the newsletter. Want this type of article to hit your inbox every Friday morning? You should sign up!

Developing free and open source software can be a thankless experience. Most folks do it because it’s something they’re passionate about, with the only personal benefit being the knowledge that there are individuals out there who found your work useful enough to download and install. So imagine how you’d feel if it turns out somebody was playing around with the figures, and the steady growth in the number of installs you thought your software had turned out to be fake.

That’s what happened just a few days ago to OctoPrint developer [Gina Häußge]. Although there’s no question that her software for remotely controlling and monitoring 3D printers is immensely popular within the community, the fact remains that the numbers she’s been using to help quantify that popularity have been tampered with by an outside party. She’s pissed, and has every right to be.

[Gina] discovered this manipulation on June 26th after taking a look at the publicly available usage stats on data.octoprint.org. She noticed that an unusually high number of instances appeared to be running an old OctoPrint release, and upon closer inspection, realized what she was actually seeing was a stream of bogus data that was designed to trick the stat counter. Rolling back the data, she was able to find out this spam campaign has been going on since late 2022. Tens of thousands of the users she thought she’d gained over the last two years were in fact nothing more than garbage spit out by some bot. But why?

Here’s where it gets interesting. Looking at the data being reported by these fake OctoPrint instances, [Gina] could tell the vast majority of them claimed to be running a specific plugin: OctoEverywhere. The perpetrators were clever enough to sprinkle in a random collection of other popular plugins along with it, but this specific plugin was the one most of them had in common. Sure enough this pushed OctoEverywhere to the top of the charts, making it seem like it was the most popular plugin in the community repository.

So what do the developers of OctoEverywhere have to say for themselves? In a statement that [Gina] posted on the OctoPrint blog, they claim they were able to determine a member of the community had performed the stat manipulation of their own accord, but as of this writing are unwilling to release this individual’s identity. A similar statement now appears on the OctoEverywhere website.

On June 27th, Gina Häußge, the developer behind OctoPrint, informed us of an incident involving the OctoPrint usage stats. Gina had observed that the stats were being manipulated to boost OctoEverywhere’s rankings.

We took the report very seriously and quickly started an investigation. Using private community channels, we determined a community member was responsible for manipulating the OctoPrint stats. We had a private conversation with the individual, who didn’t realize the impact they were having but apologized and promised never to do it again.

From a journalistic perspective, it would be inappropriate for us to leap to any conclusions based on the currently available information. But we will say this…we’ve heard more convincing stories on a kindergarten playground. Even if we take the statement at face value, the fact that they were able to figure out who was doing this within 48 hours of being notified would seem to indicate this person wasn’t exactly a stranger to the team.

In any event, the bogus data has now been purged from the system, and the plugin popularity charts are once again showing accurate numbers. [Gina] also says some safeguards have been put into place to help prevent this sort of tampering from happening again. As for OctoEverywhere, it slid back to its rightful place as the 6th most popular plugin, a fact that frankly makes the whole thing even more infuriating — you’d think legitimately being in the top 10 would have been enough.

On Mastodon, [Gina] expressed her disappointment in being fooled into thinking OctoPrint was growing faster than it really was, which we certainly get. But even so, OctoPrint is a wildly popular piece of software that has become the cornerstone of a vibrant community. There’s no question that her work has had a incredible impact on the world of desktop 3D printing, and while this turn of events is frustrating, it will ultimately be little more than a footnote in what is sure to be a lasting legacy.

Il quarto vertice dei capi di polizia delle Nazioni Unite (UNCOPS 2024) ha riunito ministri, capi di polizia e alti rappresentanti delle organizzazioni di polizia regionali e professionali presso la sede delle Nazioni Unite a New York, dal 26 al 27 giugno, per confermare l'impegno nel rafforzamento della pace, sicurezza e sviluppo a livello internazionale per tutti, attraverso il ruolo abilitante di ciascuna polizia nazionale e delle Nazioni Unite.

In particolare, le discussioni si sono concentrate sull'identificazione di approcci e pratiche per:

rendere operativo il ruolo della Divisione di polizia delle Nazioni Unite, come fornitore di servizi a livello di sistema e punto focale per le attività di polizia delle Nazioni Unite e altre questioni di applicazione della legge;
rafforzare gli sforzi in corso per migliorare le prestazioni della polizia delle Nazioni Unite rafforzandone le capacità, compreso il lancio del patto volontario per il progresso della parità di genere all'interno della polizia delle Nazioni Unite;
integrare le priorità di polizia delle Nazioni Unite nei processi, nelle discussioni e nei forum internazionali relativi alla pace e alla sicurezza.

#UNCOPS2024 ha offerto un'opportunità unica peri dirigenti di polizia di tutto il mondo e la leadership delle Nazioni Unite di impegnarsi in discussioni su come la polizia delle Nazioni Unite e la polizia nazionalesi rafforzano reciprocamente nell'affrontare le sfide attuali ed emergenti alla sicurezza globale, comprese le crisi e gli incidenti naturali e provocati dall'uomo .

I leader di polizia rientrano nelle loro nazioni con una maggiore comprensione di come le competenze, le conoscenze e l'esperienza acquisite dai loro ufficiali nazionali di ritorno dal servizio delle Nazioni Unite avvantaggiano i loro stessi servizi di polizia e le popolazioni.

La vera missione dell'UNPOL è quella di 'rafforzare la pace e la sicurezza internazionale sostenendo gli Stati membri nelle situazioni di conflitto, post-conflitto e in altre situazioni di crisi', il tutto stando in prima linea nel prevenire e affrontare le minacce internazionali che le comunità globali si trovano ad affrontare, inclusi conflitti geopolitici, catastrofi climatiche, crisi globali. sfiducia e il lato oscuro della tecnologia.

Durante la sessione di apertura del vertice, il Segretario Generale per le Operazioni di Pace, Jean-Pierre Lacroix, ha affermato che le sfide dell’UNPOL sono “più grandi che mai” e multidimensionali.
"Il nostro personale sul campo, compreso l' #UNPOL, si trova ad affrontare minacce su molti fronti da parte di terroristi, criminali organizzati transnazionali, gruppi armati e criminali informatici", ha affermato la Sig. Ha detto Lacroix. “Le nostre operazioni di pace stanno anche affrontando crescenti sfide legate all’incitamento all’odio, alla disinformazione e alla disinformazione, che sono sempre più utilizzate come armi di guerra”.
Lacroix ha affermato che la polizia delle Nazioni Unite sta lavorando per promuovere soluzioni politiche e sostenere la pace, descrivendo in dettaglio come gli agenti hanno assistito la polizia nazionale della Repubblica Democratica del Congo (RDC) con la formazione sulla raccolta di informazioni e sulla gestione dell'ordine pubblico durante un'operazione di processo elettorale nazionale.
Ha anche menzionato l'implementazione di progetti nella RDC e nel Sud Sudan che hanno portato benefici alle donne militari e di polizia nelle missioni di mantenimento della pace, migliorando i loro alloggi e costruendo aree ricreative.
Inoltre, ha osservato che l'UNPOL sta facendo bene nel ridurre la parità di genere ai livelli senior, ma ha incoraggiato i partecipanti a presentare più donne per i ruoli senior.
"Come parte della nuova agenda per la pace del Segretario Generale, dobbiamo continuare a rafforzare il multilateralismo delle reti affrontando le sfide che ho appena menzionato: non è qualcosa che le Nazioni Unite, un singolo paese come un unico pezzo, possono fare da sole", ha affermato Lacroix.

Al Vertice l'Italia ha confermato il pieno impegno dei Carabinieri nel garantire sicurezza e prosperità. Ha sottolineato la vocazione dei Carabinieri alla costruzione di capacità attraverso le sue missioni internazionali e i centri di formazione, come il Centro Internazionale di Eccellenza per la Protezione dell'Ambiente a Sabaudia ed il CoESPU a Vicenza.

@Notizie dall'Italia e dal mondo
#Armadeicarabinieri #COESPU #CENTROINTERNAZIONALEECCELLENZAPROTEZIONEAMBIENTESABAUDIA