Divulgazione del 3 novembre 2026
Descrizione
Il provider AIS instradava il login di Phronesis e Venere verso un componente di test con account fissi costruiti in memoria. Il provider di trattamento della password restituiva il valore senza hashing. Questa combinazione avrebbe potuto consentire l’autenticazione con credenziali amministrative distribuite nel software.
Componenti interessati
Phronesis e Venere: selezione del provider AIS e decisione di autenticazione del componente di test.
- Libreria di autenticazione AIS e selezione del provider per prodotto.
- Provider di test con account in memoria.
- Trattamento della password e collegamento nativo/.NET.
Causa della vulnerabilità
Il codice prodotto selezionava un provider di test nel software distribuito. Identità, password e ruoli erano definiti direttamente nel componente; il confronto non utilizzava una derivazione della password. Il percorso non dipendeva dalla creazione di un account nel database utenti.
Analisi tecnica
Instradamento verso il provider di test
Il selettore associava i codici di Phronesis e Venere al provider che costruiva gli account in memoria, compresa un’identità amministrativa. Si trattava di un percorso richiamabile dal componente di autenticazione distribuito.
L’uso del provider dipendeva dal singolo codice prodotto. La condivisione della libreria non rende automaticamente identici i percorsi dei diversi prodotti: questa scheda resta limitata a Phronesis e Venere.
Confronto della password e identità amministrativa
Il provider restituiva la password senza modificarla e la confrontava con il valore dell’account di test. Le identità fisse non seguivano il normale ciclo di creazione e gestione degli utenti applicativi.
La ricerca documenta il riconoscimento dell’identità amministrativa e un controllo negativo con credenziali errate. Il percorso avrebbe potuto produrre un login positivo senza conoscere la password di un utente legittimo.
Collegamento tra componenti e autorizzazioni successive
Il componente nativo richiamava il servizio condiviso tramite COM/IPC e gli forniva le informazioni da verificare. Il difetto riguardava la decisione di autenticazione del provider selezionato.
Se tale decisione fosse stata utilizzata come condizione di accesso a un modulo o a un archivio, l’account fisso avrebbe potuto ricevere le facoltà dell’identità riconosciuta, secondo i controlli successivi.
Prerequisiti e condizioni
- Uso del provider di test per il prodotto interessato.
- Raggiungibilità del componente o della funzione che ne utilizza la decisione.
- Attribuzione di ruoli e autorizzazioni all’identità restituita.
Impatto potenziale
Chi avesse raggiunto il percorso interessato con le credenziali incorporate avrebbe potuto essere riconosciuto con l’identità e i privilegi dell’account fisso. Le funzioni accessibili sarebbero dipese dal ruolo e dai controlli applicati dopo il login. Eventuali accessi a servizi remoti avrebbero richiesto anche le condizioni previste da quei servizi.
Indicazioni di mitigazione
Rimuovere i provider di test e gli account fissi dal percorso operativo e verificarne l’instradamento per ciascun prodotto.
- Escludere provider di test e account fissi dai pacchetti operativi.
- Verificare tutti i punti di ingresso che richiamano l’autenticazione condivisa.
- Gestire le identità privilegiate con provisioning e revoca individuali.
- Verificare che le precedenti credenziali incorporate non consentano più il login.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica di ricerca Phronesis, Venere e Infantia/Profim del 10 luglio 2026, limitata ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.