VMware ha risolto quattro vulnerabilità in ESXi, Workstation, Fusion e Tools che erano state utilizzate comeexploit zero-day nella competizione di hacking Pwn2Own Berlin 2025 tenutasi a maggio. Le vulnerabilità consentivano agli aggressori di eseguire comandi sul sistema host dall’interno di una macchina virtuale, rappresentando una seria minaccia per la sicurezza dell’infrastruttura di virtualizzazione.

Tre delle quattro vulnerabilità hanno ricevuto un punteggio di gravità elevato, pari a 9,3 su 10. Tutte e tre hanno consentito ai programmi in esecuzione all’interno della macchina virtuale di ottenere la capacità di eseguire codice sul sistema principale.

• CVE-2025-41236 è una vulnerabilità di tipo integer overflow nella scheda di rete VMXNET3 utilizzata in ESXi, Workstation e Fusion. Questa vulnerabilità è stata sfruttata durante la competizione da Nguyen Hoang Thac del team SG di STARLabs.
• CVE-2025-41237 colpisce la VMCI (Virtual Machine Communication Interface), dove un errore aritmetico consente la scrittura fuori dai limiti. Questo bug è stato sfruttato con successo da Corentin Baillet di REverse Tactics.
• CVE-2025-41238 – Nel controller PVSCSI (Paravirtualized SCSI), un errore di gestione della memoria consente un attacco heap-overflow e l’esecuzione di codice per conto del processo VMX del sistema host. Questa vulnerabilità è stata sfruttata da Thomas Bouzerard ed Etienne Elluy-Lafon del team Synacktiv.
• CVE-2025-41239 ha un punteggio inferiore, pari a 7,1, perché si tratta di una fuga di informazioni. Tuttavia, è stato utilizzato insieme a CVE-2025-41237 dallo stesso partecipante a REverse Tactics e ha svolto un ruolo chiave nel dimostrare la catena di attacco. Questo problema riguarda VMware Tools per Windows e richiede una procedura di aggiornamento separata per la correzione .

VMware non offre soluzioni alternative: le minacce possono essere eliminate solo installando le versioni più recenti del software interessato. Gli aggiornamenti sono ora disponibili per tutti i prodotti interessati.

Tutte le vulnerabilità sono state dimostrate come zero-day all’evento Pwn2Own Berlin 2025, dove i ricercatori di sicurezza hanno guadagnato 1.078.750 dollari sfruttando con successo 29 vulnerabilità.

La competizione ha dimostrato ancora una volta la rapidità con cui le vulnerabilità negli strumenti di virtualizzazione più comuni possono essere individuate e sfruttate, evidenziando la necessità di mantenere aggiornati anche i sistemi aziendali.

L'articolo VMware risolve 4 vulnerabilità critiche scoperte a Pwn2Own Berlin2025 proviene da il blog della sicurezza informatica.

The old saying that the best way to learn is by doing holds as true for penetration testing as for anything else, which is why intentionally vulnerable systems like the Damn Vulnerable Web Application are so useful. Until now, however, there hasn’t been a practice system for penetration testing with drones.

The Damn Vulnerable Drone (DVD, a slightly confusing acronym) simulates a drone which flies in a virtual environment under the command of of an Ardupilot flight controller. A companion computer on the drone gives directions to the flight controller and communicates with a simulated ground station over its own WiFi network using the Mavlink protocol. The companion computer, in addition to running WiFi, also streams video to the ground station, sends telemetry information, and manages autonomous navigation, all of which means that the penetration tester has a broad yet realistic attack surface.

The Damn Vulnerable Drone uses Docker for virtualization. The drone’s virtual environment relies on the Gazebo robotics simulation software, which provides a full 3D environment complete with a physics engine, but does make the system requirements fairly hefty. The system can simulate a full flight routine, from motor startup through a full flight, all the way to post-flight data analysis. The video below shows one such flight, without any interference by an attacker. The DVD currently provides 39 different hacking exercises categorized by type, from reconnaissance to firmware attacks. Each exercise has a detailed guide and walk-through available (hidden by default, so as not to spoil the challenge).

This seems to be the first educational tool for drone hacking we’ve seen, but we have seen several vulnerabilities found in drones. Of course, it goes both ways, and we’ve also seen drones used as flying security attack platforms.

youtube.com/embed/EHTQv6IfnwI?…

hackaday.com/2025/07/18/a-vuln…

Devo mettere gli occhiali, mi servono delle lenti progressive, mi sono fatto fare un paio di preventivi e la "forchetta" tra i prezzi che mi hanno dato è molto alta.

Purtroppo non ho nessun modo di capire quale sia la scelta più razionale e attualmente ho solo due criteri a disposizione:

a) compro le economiche così risparmio;
b) compro le costose perché se costano di più sono migliori ed è meglio non risparmiare sulla salute.

Nessuno dei due criteri mi sembra quello ottimale. L'unica cosa utile sarebbe provarle entrambe e vedere come sono ma ovviamente non è possibile.

Voi che le avete come vi regolate?

#lenti #occhiali

On Thursday, Demand Progress and Freedom of the Press Foundation (FPF) filed an ethics complaint against Edward L. Artau, a Florida judge who was nominated by President Donald Trump to a federal district court after delivering a favorable ruling for Trump in his defamation lawsuit against the Pulitzer Board. The ethics complaint asks the D.C. Court of Appeals and the Florida Judicial Qualifications Commission to investigate Artau for potentially breaking rules requiring judges to recuse themselves to avoid conflicts of interest, remain impartial, avoid impropriety, and avoid giving false statements.

Politico reported that Artau, who sought for Trump to nominate him shortly after the president won the 2024 presidential election, later ruled in Trump’s favor as part of a panel of state appellate judges deciding whether to allow the president’s lawsuit against the Pulitzer Prize Board to move forward. After joining a favorable panel ruling for Trump, and after going out of his way to write a gratuitous solo concurrence praising the lawsuit’s claims on the merits, Artau was nominated to be a judge on South Florida’s U.S. trial court. Artau later gave an incomplete and misleading testimony about these events to the Senate Judiciary Committee while under oath.

“A federal judge’s goal should be upholding the law and the American people’s confidence in the judiciary, not delivering whatever the president wants so that they can get a job,” said Emily Peterson-Cassin, director of corporate power at Demand Progress. “Judge Ed Artau’s behind-closed-doors jockeying for his nomination, his failure to recuse himself from the Pulitzer lawsuit and his misleading testimony to the Senate all raise bright red flags that need to be investigated.”

Seth Stern, director of advocacy at Freedom of the Press Foundation, said: “Judges should be safeguarding us against President Trump’s frivolous attacks on the free press, the First Amendment and the rule of law. Instead, Judge Artau seems eager to facilitate Trump’s unconstitutional antics in exchange for a job. That’s far from the level of integrity that the Rules of Professional Conduct demand. Attorney disciplinary commissions need to rise to this moment and not tolerate ethical violations that impact not only individuals before the court but our entire democracy.”

Read the Complaint here or below.

freedom.press/static/pdf.js/we…

freedom.press/issues/fpf-deman…

Our next PPI board meeting will take place on 05.08.2025 at 14:00 UTC / 16:00 CEST.

All official PPI proceedings, Board meetings included, are open to the public. Feel free to stop by. We’ll be happy to have you.

Where:jitsi.pirati.cz/PPI-Board

The prior meeting was unfortunately delayed.

Prior to that meeting a SCENE meeting is scheduled on July 22 at 7 pm/ UTC 9 pm CEST.

All of our meetings are posted to our calendar: pp-international.net/calendar/

We look forward to seeing visitors.

Thank you for your support,

The Board of PPI

pp-international.net/2025/07/n…

Hanno cominciato ad ammazzare cattolici, stai a vedere che adesso comincia a importarcene qualcosa...

La presidente del Consiglio Giorgia Meloni ha condannato l’attacco contro la chiesa e in generale contro la popolazione civile con toni particolarmente duri: in un comunicato ha detto che «sono inaccettabili gli attacchi contro la popolazione civile che Israele sta dimostrando da mesi. Nessuna azione militare può giustificarla.

ilpost.it/2025/07/17/chiesa-sa…

Israele ha attaccato l’unica chiesa cattolica nella Striscia di Gaza

Quella della Sacra Famiglia: tre persone sono state uccise e nove ferite, fra cui il parroco

^{Il Post}