Divulgazione del 3 novembre 2026
Descrizione
Il client AIS PersonaleService costruiva richieste di lettura e scrittura dei dati per-medico senza aggiungere un’autenticazione applicativa. Il record era selezionato mediante identificativi controllati dal chiamante. In assenza di controlli efficaci sul servizio, ciò avrebbe potuto consentire operazioni sui dati di un medico diverso.
Componenti interessati
Infantia, Profim, Phronesis e Venere: operazioni PersonaleService di lettura e aggiornamento dei dati per-medico sui servizi CGM.
- Client AIS PersonaleService condiviso.
- Richieste HTTP per lettura e aggiornamento.
- Verifica dell’identità e dell’appartenenza del record.
Causa della vulnerabilità
Il client selezionava il medico con parametri della richiesta, senza accompagnarli con una credenziale che ne dimostrasse il diritto di accesso. Se il server avesse ritenuto sufficienti tali parametri, avrebbe potuto confondere la selezione del record con l’autorizzazione a utilizzarlo.
Analisi tecnica
Richieste prive di autenticazione del client
Il costruttore delle richieste impostava metodo e formato, ma non aggiungeva token, certificati client o altri elementi di autenticazione. Gli identificativi del medico provenivano dal chiamante.
Se il servizio avesse accettato questa sola selezione, il richiedente avrebbe potuto operare per un’identità diversa dalla propria.
Autorizzazione in lettura e scrittura
Il client comprendeva sia la lettura sia l’aggiornamento dei dettagli per-medico. La modifica dell’identificativo avrebbe potuto selezionare un altro record se il servizio non ne avesse verificato l’appartenenza.
I controlli devono riguardare ciascuna operazione e ciascun record. Una restrizione presente soltanto nell’interfaccia o in uno dei due percorsi non proteggerebbe l’altro.
Modifica di stato attraverso la query HTTP
La scrittura era costruita come richiesta GET con valori nella query e una composizione dei parametri priva di codifica coerente. Queste proprietà riguardavano lo stesso percorso di aggiornamento per-medico.
I valori avrebbero potuto finire in cronologie o log intermedi; una composizione ambigua avrebbe potuto alterarne l’interpretazione. La correzione deve comprendere metodo di richiesta, codifica e controlli server di autenticazione e autorizzazione.
Prerequisiti e condizioni
- Raggiungibilità delle operazioni interessate.
- Disponibilità degli identificativi e accettazione della richiesta da parte del servizio.
- Assenza di un controllo che vincoli operazione e record all’identità autorizzata.
Impatto potenziale
Un soggetto che avesse inviato richieste accettate dal servizio avrebbe potuto leggere o modificare i dati per-medico esposti dalle operazioni. La portata sarebbe dipesa dai campi trattati e dalle autorizzazioni del servizio. La conoscenza di un identificativo non costituisce un’autorizzazione al record corrispondente.
Indicazioni di mitigazione
Autenticare il chiamante e autorizzare entrambe le operazioni sul server, vincolando il medico richiesto all’identità autorizzata anche nelle richieste costruite fuori dall’interfaccia utente.
- Autorizzare separatamente lettura e scrittura per il medico richiesto.
- Rifiutare identificativi estranei al chiamante anche quando formalmente validi.
- Usare richieste appropriate alle modifiche di stato e codificare i parametri.
- Verificare il rifiuto di richieste senza credenziali e verso i dati di altri medici.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica di ricerca Phronesis, Venere e Infantia/Profim del 10 luglio 2026, limitata ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.