Divulgazione del 3 novembre 2026
Descrizione
I componenti AIS comprendevano password di soccorso e percorsi di recupero deterministici. Un valore ricostruibile da informazioni prevedibili e costanti distribuite nel software poteva sostituire la credenziale legittima. In Infantia/Profim erano presenti anche trasformazioni native e token di reset con uno spazio di valori ridotto.
Componenti interessati
Infantia, Profim, Phronesis e Venere: percorsi deterministici di accesso e recupero credenziali.
- Funzioni di password di emergenza del modulo condiviso.
- Verifica e reset mediante valore di soccorso.
- Autenticazione nativa e generazione dei token di recupero Infantia/Profim.
Causa della vulnerabilità
Il valore alternativo era derivato da riferimenti prevedibili anziché da un segreto individuale o da un token casuale legato a una richiesta verificata. La logica era nel software distribuito. Alcuni percorsi nativi riducevano ulteriormente l’insieme dei risultati possibili.
Analisi tecnica
Password di soccorso deterministica
La funzione di soccorso usava riferimenti temporali e costanti presenti nella libreria. La validità limitata nel tempo non ne rendeva imprevedibile la generazione, poiché dati e logica necessari erano disponibili nel pacchetto.
Il valore ricostruito avrebbe potuto essere accettato senza la password effettiva. In Infantia/Profim il meccanismo era richiamato anche da funzioni di recupero degli archivi.
Legame tra recupero e identità
Il valore di soccorso sostituiva il controllo ordinario della credenziale o la verifica prevista per il recupero. Si trattava di un percorso alternativo ricostruibile, non soltanto di una password conservata impropriamente.
L’eventuale accesso avrebbe avuto la portata della funzione o dell’identità interessata. La correzione deve quindi considerare anche i moduli ausiliari che ne accettavano il risultato.
Trasformazioni native e token Infantia/Profim
La trasformazione nativa della password dell’archivio era deterministica, priva di salt e con uno spazio di risultati ridotto. Le differenze tra password potevano essere perse durante il trattamento.
Anche la generazione del token di reset presentava variabilità insufficiente e un comportamento di ripiego deterministico. Queste proprietà avrebbero potuto agevolare la previsione o la ricerca di valori accettati; formule e costanti non sono riprodotte.
Prerequisiti e condizioni
- Raggiungibilità della funzione che accetta il valore alternativo.
- Rispetto delle condizioni temporali applicate dal componente.
- Accesso al materiale memorizzato per gli scenari di ricerca offline.
Impatto potenziale
Chi avesse ricostruito o previsto un valore accettato avrebbe potuto effettuare un reset o ottenere accesso senza conoscere la password legittima. Nei percorsi nativi a spazio ridotto, il possesso del valore memorizzato avrebbe potuto agevolare la ricerca di una password equivalente. Le funzioni successive sarebbero dipese dall’account e dal percorso di recupero.
Indicazioni di mitigazione
Eliminare le credenziali di soccorso ricostruibili dal codice o da informazioni prevedibili e usare recuperi legati all’identità con token casuali, a scadenza e utilizzo singolo.
- Rimuovere i valori di soccorso derivabili da tempo e costanti.
- Associare token casuali alla singola identità e richiesta, con scadenza e invalidazione.
- Limitare i tentativi su tutti i percorsi di recupero.
- Migrare le password a una derivazione adeguata e rifiutare i vecchi valori alternativi.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica di ricerca Phronesis, Venere e Infantia/Profim del 10 luglio 2026, limitata ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.