Le 20 vulnerabilità più significative che hanno paralizzato il mondo del web (IT) nel decennio 2010-2020

1. Badlock
Il bug di sicurezza Badlock, divulgato il 12 aprile 2016 con CVE-2016-2118, è un bug di sicurezza cruciale in MS Windows e Samba (una reimplementazione software gratuita del protocollo di rete SMB per Unix e Linux), che ha causato due attacchi pericolosi di tipo: Man-in-the-middle (MITM) e Denial-of-Service (DoS).

2. BlueBorne
Si stima che il bug BlueBorne colpisca potenzialmente oltre 8,2 miliardi di dispositivi in tutto il mondo. I principali sistemi operativi come Linux, iOS, Windows e Android, sono interessati a questo bug a causa della vulnerabilità nelle implementazioni Bluetooth e colpisce molti dispositivi elettronici come laptop, smartphone, auto intelligenti, IoT e altro.

3. Cloudbleed
Cloudflare è un'azienda leader nel settore della sicurezza internet,  reverse-proxy e dell'ottimizzazione basata su cloud. Alcuni dei migliori e più frequentati siti Web o App si affidano a Cloudflare per la loro protezione. Il 17 febbraio 2017 è stato scoperto un bug di sicurezza chiamato Cloudbleed. Il bug ha fatto sì che i server perimetrali di Cloudflare funzionassero oltre il buffer e restituissero la memoria che conteneva informazioni private come:

• cookie HTTP;
• token di autenticazione;
• corpi HTTP POST;
• milioni di dati sensibili e altro ancora.
  
  

La cosa peggiore è che questi dati furono memorizzati nelle cache da Google e da altri motori di ricerca.

4.Dirty cow
Ultimamente è stato riscontrato un problema di sicurezza molto serio nel kernel Linux. Una vulnerabilità legata all'escalation dei privilegi locali "zero day" che esiste dal 2005. Questo bug interessa tutti i tipi di kernel Android o Linux utilizzati per aumentare i privilegi. Qualsiasi utente può diventare un "root" in meno di 5 secondi. Il bug esiste dalla versione del kernel Linux 2.6.22+. La maggior parte delle distribuzioni Linux ha rilasciato patch per proteggere il kernel Linux dalla vulnerabilità dell'escalation dei privilegi locali "zero day" (CVE-2016-5195).

5. Foreshadow

I moderni processori Intel / AMD sono sono menomati dai molti bug di sicurezza. La vulnerabilità L1 Terminal Fault (L1TF o Foreshadow) è un attacco intrnet che interessa i microprocessori moderni. La prima versione comporta la divulgazione di informazioni sensibili archiviate su PC e server cloud.

La seconda versione mira a:

• macchine virtuali (VM);
  
• hypervisor (VMM);
  
• memoria del kernel dei sistemi operativi (OS);
  
• memoria SMM (System Management Mode).
  

L'applicazione di patch di sicurezza potrebbe aver contribuito a mitigare alcuni degli aspetti più preoccupanti, ma gli utenti potrebbero riscontrare una significativa diminuzione delle prestazioni complessive del PC o del server in esecuzione nel cloud.

6. Heartbleed

Il bug di sicurezza Heartbleed è una seria vulnerabilità nella popolare “libreria” di software crittografico OpenSSL. Questa debolezza consente di rubare delle informazioni protette dalla crittografia SSL/TLS, utilizzata per proteggere Internet. L'SSL/TLS fornisce sicurezza e privacy nelle comunicazioni su Internet per applicazioni quali web, posta elettronica, messaggistica istantanea (IM) e alcune reti private virtuali (VPN). Dopo la scoperta, Google ha istituito Project Zero, un organizzazione che ha il compito di trovare vulnerabilità zero-day per proteggere il web. Sono state rilasciate su Linux patch per proteggere la vulnerabilità OpenSSL # CVE-2015-0291 CVE-2015-0204.

7. iSeeYou
iSeeYou è un bug di sicurezza che colpisce iSight cam in qualsiasi laptop Apple.

Un utente malintenzionato può ottenere l'accesso remoto e scattare fotografie di una persona senza consenso. I laptop Apple utilizzavano una varietà di sistemi operativi, inclusi macOS, Microsoft Windows e Linux. Pertanto, i contenziosi contro l'attacco iSeeYou variano a seconda del sistema operativo. È quindi stato rilasciato iSightDefender, un'estensione del kernel macOS per ridurre la superficie d’attacco sul sistema operativo Unix macOS.

8. Krack
Attacchi di reinstallazione chiave, che hanno come scopo quello di rompere il WPA2 forzando il riutilizzo del di una chiave nulla.

KRACK significa Key Reinstallation Attack. È un attacco replay, un tipo di falla sfruttabile sul protocollo WPA (Wi-Fi Protected Access protocol) che utilizziamo per proteggere le nostre connessioni Wi-Fi. Naturalmente, sono interessati tutti i dispositivi come software, router e sistemi operativi che utilizzano Wi-Fi Protected Access (WPA). Ad esempio, tutti i sistemi operativi significativi come Microsoft Windows, ChromeOS, macOS, iOS, Android, Linux, OpenBSD e altri strumenti come wpa_supplicant possono installare una chiave di crittografia composta da zeri, annullando di fatto la protezione WPA2 in un attacco man-in-the-middle.

9. Lazy
Lazy (Lazy FP state Restore) è “un’aggressione” di sicurezza alle CPU Intel.

È possibile utilizzare questo processo locale di vulnerabilità per far trapelare il contenuto dei registri FPU che appartiene a un altro processo. Questa vulnerabilità è correlata ad altre di nome Spectre e Meltdown. Linux, OpenBSD, Xen e altri hanno rilasciato patch per risolvere questo problema di ripristino dello stato FP Lazy (Lazy)

10. Linux.Encoder
Linux.Encoder (noto anche come ELF/Filecoder.A e Trojan.Linux.Ransom.A) è il primo Trojan ransomware che prende di mira computer, server cloud e dispositivi che eseguono Linux. Esistono varianti aggiuntive di questo "attacco" che prendono di mira altri sistemi Unix o simili a Unix.

11. Meltdown
È grave bug di sicurezza trovato nelle CPU Intel. Vulnerabilità CPU Meltdown CVE-2017-5754 è un virus che rompe l'isolamento fondamentale tra le applicazioni utente e il sistema operativo. Questo attacco consente a un programma di accedere alla memoria e ad informazioni riservate del sistema operativo e di altri programmi.

La vulnerabilità Meltdown colpisce principalmente i microprocessori Intel, ma anche i microprocessori ARM Cortex-A75 e IBM Power. Le CPU AMD, invece, non sono vulnerabili. Possiamo controllare Linux per la vulnerabilità Spectre e Meltdown. Sarebbe meglio patchare Meltdown anche su entrambi i server OpenBSD e FreeBSD.

12. Microarchitettura

Le Microarchitectural Data Sampling (MDS) sono una serie di punti deboli nei microprocessori Intel x86 che utilizzano l’hyper-threading, perché possono perdere i dati attraverso i confini di protezione che si suppone siano sicuri dal punto di vista architettonico, ma non è così. Dopo Meltdown, Spectre e Foreshadow, sono state scoperte vulnerabilità più critiche nei processori moderni. L'attacco ZombieLoad ad esempio consente di rubare dati e chiavi sensibili mentre il computer vi accede.

13. Mirai
Il malware Mirai (未来) attacca i dispositivi in esecuzione su Linux, come router e telecamere IP e trasforma questi dispositivi in rete in bot.
Mirai prende il nome da una serie TV del 2011: "Mirai Nikki" che sta dietro ad alcuni dei più grandi e dirompenti attacchi DDoS (Distributed Denial of Service) su Internet.

Linux è sicuramente il sistema operativo dominante numero uno per IoT, router domestici e WiFi, server cloud, telecamere IP e altro ancora. Infatti negli ultimi anni, MS-Windows ha attirato molti autori di malware. Di seguito sono riportati altri vettori di attacco avvenuti nell’ultimo decennio.

Linux.Darlloz, un worm che infetta il sistema Linux incorporato in dispositivi come router, telecamere IP di sicurezza, set-top box sfruttando una vulnerabilità PHP. È attivo dal 2013.

Linux.Wifatch. Un malware open source che non utilizza il tuo router hackerato Linux per scopi dannosi, ma piuttosto per proteggere i tuoi dispositivi da altri malware. Wifatch infatti non solo cerca di impedire ulteriori accessi uccidendo il "demone" Telnet legittimo, ma lascia anche un messaggio ai proprietari del dispositivo di cambiare le password e aggiornare il firmware.

Wifatch non è l'unico malware white hat. Nell'ottobre 2016 è stato trovato Hajime, che si prefigge di proteggere i tuoi dispositivi Linux.

Questo è un prototipo di messaggio lasciato dal malware nel tuo dispositivo (compromesso) basato su Linux:

     "Sono semplicemente un White hat, per proteggere alcuni sistemi.
     I messaggi importanti verranno firmati in questo modo!
     L’autore di Hajime.
     Contatto CHIUSO - Stai vigile!"

BrickerBot si ritiene sia il malware che ha distrutto più di dieci milioni di dispositivi prima che l'autore di BrickerBot lo ritirasse. Questo attacco tenta di distruggere o perlomeno bloccare in modo permanente i dispositivi IoT ("Internet of Things"). È stato scoperto per la prima volta il 10 aprile 2017. Gli autori hanno provato a rimetterlo in marcia il 10 dicembre 2017.

Bashlite (LizardStresser) è un malware che infetta i sistemi Linux, router, IoT e DVR per lanciare attacchi DDoS (Distributed Denial of Service). La versione originale nel 2014 sfruttava un difetto nella bash chiamato Shellshock per controllare i dispositivi che eseguivano BusyBox.

14. POODLE
POODLE è una vulnerabilità che si avvantaggia del modo con cui alcuni browser gesticono la cifratura dei dati. È una vulnerabilita “uomo nel mezzo” (man-in-the-middle) che si avvantaggia di Internet e client di sicurezza che fanno fallback su SSL 3.0.

Qualunque software che supporti SSL 3.0 è soggetto ad attacchi. Per mitigare l’attacco POODLE è necessario disabilitare SSL 3.0 dal lato client e da lato server. Vari vendor come Google, Microsoft, Apple, OpenSSL hanno rilasciato patch software per proteggere dalla falla di sicurezza POODLE

15. Rootpipe
La vulnerabilità di sicurezza di rootpipe in OSX consente l'escalation dei privilegi. Sfruttando la vulnerabilità di sicurezza in un sistema, un utente malintenzionato può ottenere l'accesso come super-utente (root). In combinazione con altri bug su Mac, come un browser web Apache senza patch, un utente malintenzionato può inoltre utilizzare il root pipe per ottenere il controllo completo del sistema operativo e del computer o del server Apple Mac. Nel novembre 2017, una vulnerabilità simile è stata rilevata in macOS High Sierra, rendendo possibile l'accesso alla macchina senza password e account di root.

16. Shellshock

Viene chiamato Shellshock o Bashdoor, è un bug software critico in Bash in esecuzione su sistemi Linux, macOS, BSD e Unix.

Shellshock consente a un utente malintenzionato di fare in modo che Bash esegua comandi arbitrari e ottenga l'accesso non autorizzato a molti servizi connessi a Internet, come i server web, che utilizzano Bash per elaborare le richieste. Gli aggressori spesso prendono di mira i seguenti servizi su sistemi Linux o Unix o su qualsiasi servizio Internet che utilizza Bash:

• web server basato su CGI;
• server OpenSSH;
• client DHCP;
• shell con restrizioni IBM HMC;
• server di posta elettronica Qmail.

Shellshock viene spesso paragonato al il bug Heartbleed poiché entrambi sono molto gravi, a causa dell'enorme numero di server Linux e Unix senza patch in esecuzione nel cloud.

17. SigSpoof
SigSpoof è una tipologia di vulnerabilità di sicurezza che colpisce dal 1998 il pacchetto software GNU Privacy Guard, purtroppo sono state scoperte solo nel giugno 2018. Marcus Brinkmann, colui che ha scoperto le vulnerabilità SigSpoof, dato che questa vulnerabilità è rimasta presente per un tempo tanto esteso, mette in discussione l'integrità delle email del passato, dei backup, aggiornamenti software nelle distribuzioni Linux / Unix e codice sorgente nei sistemi di controllo della versione come Git.

18. Spectre

Lo Spectre (spettro) rompe l'isolamento tra diverse applicazioni sui moderni microprocessori che eseguono la predizione dei rami (branch prediction).

L'attacco Meltdown consente a un programma di accedere alla memoria e quindi ai segreti di altri programmi e/o del sistema operativo. I grandi fornitori di cloud come Google e AWS hanno corretto i bug prima di chiunque altro. Anche se la maggior parte dei distributori Linux e dei fornitori IT ha rilasciato le patch in tempo. Una previsione errata può produrre effetti collaterali osservabili e che possono rivelare dati privati agli aggressori. Speculative Store Bypass (SSB) è una vulnerabilità di sicurezza che sfrutta l'esecuzione speculativa simile alle vulnerabilità di sicurezza di Meltdown e Spectre. Colpisce i processori ARM, AMD e Intel.

19. Stagefright
Stagefright è un gruppo di bug software per il sistema operativo Android.

Lo sfruttamento dei bug consente a un utente malintenzionato di eseguire operazioni arbitrarie sul telefono cellulare della vittima tramite l'esecuzione di codice remoto e l'escalation dei privilegi. Un numero di telefono è l'unica informazione necessaria per eseguire l'attacco tramite MMS. L'ultima versione di Android 10+ ha spostato tutti i codec software in una sandbox vincolata per mitigare questa minaccia. Il software interessato include Android 2.2 "Froyo", Android 1.5 "Cupcake" e Android 5.1 "Lollipop".

20. TLBleed
Come ultima vulnerabilità abbiamo l’attacco TLBleed, quest’ultimo sfrutta un attacco crittografico a canale laterale che utilizza l'apprendimento automatico per manipolare un canale laterale di temporizzazione tramite il buffer di traduzione di ricerca (TLB) sui moderni microprocessori che utilizzano il multithreading simultaneo, principalmente nelle CPU Intel. OpenBSD Unix ha disabilitato il multithreading simultaneo sui microprocessori Intel poiché non esiste una soluzione semplice per tali bug nelle CPU Intel.

Conclusioni
Questo non è un elenco definitivo di tutte le vulnerabilità importanti che hanno paralizzato il mondo IT in questo ultimo decennio. Questo testo si concentra principalmente sulle vulnerabilità che interessavano Linux, Unix, macOS, server e cloud computing, Microsoft, VMware. Molti altri fornitori non sono stati presi in considerazione.

Molte vulnerabilità scoperte e non scoperte derivano dalla troppa fiducia nell'input dell'utente, da firmware/software senza patch, da un codice scritto male, da un software complesso che esegue milioni di righe di codice e altro ancora.
 
La mitigazione delle vulnerabilità software e hardware è un processo continuo e siamo sicuri che vedremo bug più gravi nel prossimo decennio.

Siete stati colpiti dalle varie vulnerabilità di cui si parla in questo post? Dite la vostra nello spazio dedicato ai commenti qui sotto.

---

Letture correlate:

• Capire gli attacchi informatici: la cyber kill chain
  
• Internet non è un paese per vecchi
  
• I 5 segnali di allarme che possono salvare le aziende da un attacco informatico di ransomware
  
• Usare il PC di casa per fare smart working è sicuro?

---

Scopri come trasformare il tuo spazio di lavoro!
Contattaci ora +39 0422 431640 oppure scrivici:

Contatti