Divulgazione del 3 novembre 2026
Descrizione
Il processo di aggiornamento di Magistra controllava la versione del pacchetto senza verificarne una firma crittografica prima dell’installazione. La distribuzione comprendeva inoltre componenti non firmati e meccanismi di risoluzione delle librerie dalla directory applicativa.
Coordinamento della CVD
Divulgazione coordinata delle vulnerabilità (CVD) nell’ambito del coordinamento di ACN / CSIRT Italia.
Consulta l’advisory ufficiale ACN / CSIRT Italia ↗Componenti interessati
Magistra: verifica dei pacchetti di aggiornamento, firma dei componenti distribuiti e risoluzione locale delle librerie.
- Controllo di versione e installazione del pacchetto scaricato.
- Autenticità dei binari distribuiti.
- Caricamento delle librerie dalla directory applicativa.
Causa della vulnerabilità
Il numero di versione era usato come criterio di aggiornamento senza una verifica crittografica di provenienza del pacchetto. Binari non firmati e risoluzione locale delle librerie rendevano rilevante anche la protezione dei file caricati.
Analisi tecnica
Controllo di versione e autenticità del pacchetto
La procedura controllava la versione e procedeva alla copia del nuovo eseguibile da un pacchetto strutturato come archivio ZIP. Non era prevista una verifica della firma crittografica del pacchetto come condizione per l’installazione.
Il confronto del numero di versione non prova chi abbia prodotto il contenuto né che questo sia integro. Se un contenuto alterato fosse arrivato al client e avesse superato i controlli residui, avrebbe potuto essere installato al posto dell’aggiornamento legittimo.
Distribuzione e firma dei componenti
I pacchetti e lo storico delle versioni erano scaricabili senza autenticazione dal servizio di distribuzione. La disponibilità in lettura non implicava la possibilità di modificarli sul server; il rischio di sostituzione richiedeva il controllo di un punto effettivo della catena di consegna.
Diversi componenti distribuiti erano privi di firma Authenticode, incluse librerie utilizzate nel contesto del database. La firma dei singoli binari e quella del pacchetto rispondono a verifiche distinte: entrambe devono essere validate dal processo che decide se fidarsi del codice.
Risoluzione locale delle librerie
La distribuzione comprendeva meccanismi di reindirizzamento del caricamento delle DLL verso la directory applicativa. In assenza di controlli adeguati, la presenza di file sostituibili in tale percorso avrebbe potuto influenzare il codice caricato.
Un eventuale caricamento di una libreria alterata avrebbe richiesto permessi di scrittura nel percorso effettivo e condizioni compatibili con la risoluzione della dipendenza. Il codice avrebbe operato con i privilegi del processo ospitante; non ne deriva automaticamente un’elevazione dei privilegi.
Prerequisiti e condizioni
- Per un pacchetto alterato, possibilità di influenzare il contenuto effettivamente ricevuto dal client.
- Per una libreria sostituita, scrittura nel percorso di caricamento e successivo utilizzo della dipendenza.
- Esecuzione dell’aggiornamento o del componente interessato senza un controllo efficace che blocchi il contenuto alterato.
Impatto potenziale
Un soggetto in grado di sostituire il pacchetto effettivamente ricevuto dal client avrebbe potuto far installare codice alterato. Un soggetto con permessi di scrittura nei percorsi di caricamento avrebbe potuto tentare la sostituzione di librerie. L’esecuzione sarebbe dipesa dai controlli residui, dall’effettivo caricamento e dai privilegi del processo coinvolto.
Indicazioni di mitigazione
Verificare firma, integrità e metadati degli aggiornamenti prima dell’installazione, con rifiuto dei pacchetti non validi. Firmare i componenti e proteggere i percorsi di installazione e caricamento delle librerie.
- Installare gli aggiornamenti correttivi indicati dal fornitore.
- Validare firma del pacchetto e metadati prima di estrarre, copiare o eseguire il contenuto.
- Verificare le firme dei componenti con una politica esplicita di attendibilità e rifiuto.
- Proteggere le directory applicative e limitare la ricerca delle dipendenze a percorsi controllati.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Rapporto tecnico di ricerca Magistra del 14 luglio 2026, limitato ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.