Divulgazione del 3 novembre 2026
Descrizione
Magistra utilizzava una trasformazione reversibile con costanti incorporate per password, autorizzazioni e segreti di configurazione. I dati personali e sanitari nel database non erano cifrati a riposo; la procedura di backup produceva un dump temporaneo in chiaro e un archivio finale con cifratura ZIP classica.
Coordinamento della CVD
Divulgazione coordinata delle vulnerabilità (CVD) nell’ambito del coordinamento di ACN / CSIRT Italia.
Consulta l’advisory ufficiale ACN / CSIRT Italia ↗Componenti interessati
Magistra: protezione applicativa di password e autorizzazioni, dati a riposo e procedura di backup. Il rapporto descrive il confronto tra la precedente base Paradox e la base Firebird.
- Trasformazione reversibile di password, autorizzazioni e configurazione.
- Archiviazione dei dati personali e sanitari nel database.
- Dump temporaneo e cifratura dell’archivio di backup.
Causa della vulnerabilità
Costanti comuni al prodotto erano usate per proteggere segreti e permessi. La protezione dei dati nel database e nelle copie di sicurezza non offriva un confine crittografico indipendente dall’accesso ai file.
Analisi tecnica
Password e autorizzazioni reversibili
Le password degli utenti erano memorizzate con una trasformazione reversibile senza salt, basata su costanti incorporate nel programma. Lo stesso schema proteggeva le autorizzazioni e alcuni valori di configurazione.
La disponibilità del componente applicativo avrebbe potuto consentire il recupero della trasformazione e dei valori protetti, se fossero stati accessibili anche il database o la configurazione. La condivisione delle costanti tra installazioni riduceva la separazione crittografica tra ambienti.
Dati sanitari e migrazione del database
Il database Firebird conservava in chiaro nominativi e associazioni tra pazienti, medici e preparazioni. Nel passaggio dalla precedente base Paradox, campi prima protetti a livello applicativo erano stati trasferiti senza mantenere quella protezione.
L’assenza di cifratura a riposo avrebbe potuto rendere leggibili tali dati a chi avesse ottenuto accesso sufficiente al database o a una sua copia. La cifratura di altri contenuti applicativi non si estendeva automaticamente ai dati sanitari.
Dump temporaneo del backup
La procedura scriveva un dump completo non cifrato in una directory temporanea prima di comprimerlo. Durante questa fase, la protezione del successivo archivio non proteggeva il file intermedio.
Un soggetto in grado di leggere il percorso temporaneo durante l’operazione avrebbe potuto ottenere il contenuto del backup. L’eventuale permanenza di copie avrebbe richiesto una gestione esplicita della loro eliminazione e conservazione.
Cifratura dell’archivio finale
Il backup finale utilizzava la cifratura PKZIP classica. Si tratta di un meccanismo distinto dalla cifratura moderna con autenticazione e non adeguato come unica protezione di dati sensibili.
La disponibilità dell’archivio e, in particolare, di contenuti in chiaro corrispondenti avrebbe potuto facilitare il recupero dei dati. La sola presenza di una password sul file ZIP non attestava una protezione crittografica robusta.
Prerequisiti e condizioni
- Accesso ai valori cifrati e al componente applicativo per il recupero dei segreti.
- Accesso sufficiente ai file del database o alle copie di sicurezza per l’esposizione dei dati.
- Per il dump intermedio, possibilità di lettura nel percorso e nel momento in cui era disponibile.
Impatto potenziale
Chi avesse ottenuto i dati cifrati e una copia del componente applicativo avrebbe potuto ricostruire password o valori protetti con lo schema condiviso. L’accesso ai file del database o ai dump temporanei avrebbe potuto esporre dati personali e sanitari. La cifratura debole dei backup avrebbe potuto agevolarne il recupero, secondo il materiale disponibile e le condizioni di attacco.
Indicazioni di mitigazione
Sostituire la protezione reversibile delle password con hashing dedicato e salt individuale; separare la gestione dei segreti dal binario e proteggere database, copie temporanee e backup con cifratura moderna e chiavi gestite separatamente.
- Migrare le password a un algoritmo di hashing dedicato con salt per utente e rinnovare i segreti esposti.
- Verificare le autorizzazioni sul lato che applica le operazioni, senza affidarle alla sola reversibilità di un campo.
- Cifrare i dati sensibili e le copie di sicurezza con chiavi separate dai file e dai binari distribuiti.
- Proteggere e ridurre la permanenza dei dump temporanei; includere le copie storiche nella bonifica.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Rapporto tecnico di ricerca Magistra del 14 luglio 2026, limitato ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.