IL CEO DI SEGMENT HA RILASCIATO UNA PROOF-OF-CONCEPT SU UNA VULNERABILITÀ DI SQUIRRELMAIL.
Filippo Cavallarin, CEO di We are Segment, ha trovato una vulnerabilità di Squirrelmail, ossia un bug (CVE-2017-7692) che ha interessato le versioni di SquirrelMail 1.4.22 e successive. Questa divulgazione, come quella relativa al Remote Code Execution di Microsoft Remote Desktop Client per Mac, si è rapidamente diffusa su scala globale.
Numerosi titoli internazionali e piattaforme sociali, focalizzate su Cyber Security, hanno scritto su questa pubblicazione, tra questi, possiamo elencare The Register, Helpnet Security e Threat Post.
“SquirrelMail presenta una vulnerabilità di Esecuzione di codice in modalità remota (Remote Code Execution) che deriva dalla fuga inadeguata dei dati forniti dall’utente quando Sendmail è stato configurato come il trasporto principale di SquirrelMail. Un “aggressore” autenticato potrebbe essere in grado di sfruttare la vulnerabilità per eseguire comandi arbitrari sul target e compromettere il sistema remoto” così il blog SecuriTeam spiega questo bug.
In altre parole, l’attacco può verificarsi quando il server di destinazione utilizza Sendmail e ha configurato SquirrelMail ad utilizzarlo come programma principale di trasporto. In questa situazione, infatti, è possibile ingannare Sendmail con un file di configurazione fornito da un attaccante che attiva l’esecuzione di un comando arbitrario.
Cavallarin ha pubblicato dettagli su questa vulnerabilità di Squirrelmail alla fine di aprile (dopo che non ha ricevuto alcuna risposta da parte dello sviluppatore di SquirrelMail). Ha fornito uno proof-of concept exploit per il bug in un post alla mailing list di Full Disclosure, e ha anche offerto una patch non ufficiale per tappare il buco.
La divulgazione ha creato l’urgenza per il fornitore di rilasciare patch per risolvere questa vulnerabilità.
——–
We are Segment fa parte del gruppo Interlogica ed offre numerosi servizi, dalla consulenza alla formazione tecnologica avanzata nel settore della sicurezza informatica.
