Divulgazione del 3 novembre 2026
Descrizione
WinGesfar distribuiva credenziali incorporate in componenti e configurazioni per aggiornamenti, sincronizzazione, servizi cloud e ordini. Il report documenta anche un account del fornitore con credenziale prevedibile e, nel sistema di autenticazione locale, password degli operatori persistite in cache e log e trattate con una derivazione debole.
Componenti interessati
Le vulnerabilità descritte riguardavano l’intero parco installato WinGesfar.
- Componenti AcuCOBOL/CBX per distribuzione, aggiornamento e sincronizzazione.
- Libreria di integrazione WASP e autenticazione delle richieste cloud.
- Integrazione NSO/Enerj.
- Account del fornitore nel sistema di autenticazione locale.
Causa della vulnerabilità
Il client veniva distribuito insieme a materiale di autenticazione riutilizzabile, in alcuni casi condiviso a livello di fornitore. Chi avesse avuto una copia dei componenti avrebbe potuto recuperarne il contenuto attraverso l’analisi del software. Il confine di fiducia deve quindi basarsi su identità separabili, revocabili e con privilegi minimi. Per le password degli operatori si aggiungevano persistenza in chiaro in cache e log e una derivazione a costo computazionale ridotto.
Analisi tecnica
Distribuzione e sincronizzazione nei componenti CBX
Credenziali erano incorporate in più componenti AcuCOBOL/CBX utilizzati per infrastrutture CGM e per il canale di distribuzione CGM/Studiofarma. La loro presenza nei componenti distribuiti avrebbe potuto consentirne il recupero da una copia del software, senza richiedere un precedente accesso al servizio remoto.
Una credenziale del canale di distribuzione avrebbe potuto consentire le operazioni autorizzate all’account. L’eventuale sostituzione o pubblicazione di pacchetti avrebbe richiesto permessi di scrittura sul relativo repository; i soli permessi di download avrebbero consentito una portata diversa.
Più insiemi di credenziali ricorrevano nei componenti di distribuzione e sincronizzazione. Per il canale CGM/Studiofarma la stessa credenziale era presente in almeno sedici componenti CBX.
Autenticazione WASP basata su un segreto incorporato
Una libreria di integrazione conteneva materiale usato per costruire l’autenticazione HMAC-SHA256 delle richieste verso il servizio WASP. La debolezza documentata riguarda la distribuzione del segreto e la sua condivisione, non una vulnerabilità della funzione HMAC-SHA256 in sé.
Il recupero del materiale necessario all’autenticazione HMAC avrebbe potuto consentire di costruire richieste riconosciute come provenienti dall’identità applicativa condivisa. Le operazioni possibili sarebbero dipese dalle autorizzazioni del servizio e dalla separazione delle identità applicata sul server.
Integrazione ordini NSO/Enerj
I componenti dell’integrazione NSO/Enerj contenevano credenziali definite a livello di fornitore e distribuite con il software. Il loro eventuale utilizzo avrebbe potuto interessare la consultazione o la gestione degli ordini, secondo i permessi riconosciuti dal servizio.
Password degli operatori: cache, log e derivazione debole
La cache della schermata di gestione operatori conservava informazioni contenenti password in chiaro o in forma parziale. Le operazioni di gestione delle credenziali registravano inoltre password nei log. Chi avesse ottenuto accesso a questi artefatti avrebbe potuto leggere il materiale conservato anche senza analizzare gli hash delle password.
Il trattamento delle password normalizzava il valore in maiuscolo prima di applicare una singola operazione SHA-256 con un salt di tre byte. La normalizzazione riduceva le differenze tra password e il salt corto ne limitava la diversificazione. L’assenza di una funzione di derivazione con costo adeguato avrebbe potuto rendere meno onerosi i tentativi offline sui valori memorizzati.
Il profilo applicativo comprendeva anche un account riconducibile al fornitore, con una credenziale prevedibile a partire da informazioni del profilo. Questa prevedibilità avrebbe potuto agevolare accessi non autorizzati con i privilegi attribuiti all’account.
Il pacchetto comprendeva componenti alternativi di autenticazione e ulteriore materiale crittografico incorporato in moduli di esportazione. La protezione del percorso di autenticazione dipende dall’effettiva adozione dei meccanismi sicuri nei componenti utilizzati, oltre che dalla rimozione dei segreti distribuiti.
Prerequisiti e condizioni
- È necessario disporre di una copia dei componenti o delle configurazioni contenenti le credenziali; l’analisi del client non richiede l’uso di tali credenziali contro sistemi remoti.
- L’eventuale utilizzo verso un servizio esterno richiede che la credenziale sia ancora valida e accettata e che i controlli compensativi ne consentano l’impiego.
- Le facoltà di consultare dati, modificare risorse o distribuire aggiornamenti dipendono dai permessi dell’account: non possono essere dedotte automaticamente dal suo nome o dalla presenza nel binario.
Impatto potenziale
Il recupero del materiale distribuito con il software avrebbe potuto consentire l’impiego di credenziali utilizzate da componenti e servizi diversi. La condivisione dell’identità applicativa avrebbe potuto ampliare la portata dell’accesso oltre una singola postazione, nei limiti delle autorizzazioni associate all’account. Le password persistite in chiaro avrebbero potuto essere lette da chi avesse accesso agli artefatti; la derivazione debole avrebbe inoltre potuto agevolare tentativi offline sui valori memorizzati.
Indicazioni di mitigazione
Installare le correzioni previste dal fornitore e revocare le credenziali precedentemente distribuite. La sostituzione di un segreto con un altro valore ancora incorporato e condiviso non rimuove la causa architetturale dell’esposizione.
- Revocare i segreti distribuiti e assegnare identità per installazione o per servizio, con privilegi minimi e revoca indipendente.
- Proteggere il materiale locale con archivi credenziali del sistema operativo e procedure di provisioning appropriate, senza affidarsi alla sola compilazione o offuscamento.
- Rimuovere gli account di servizio non necessari e i meccanismi di autenticazione prevedibili; evitare account condivisi per l’assistenza.
- Separare gli account di download da quelli di pubblicazione degli aggiornamenti e verificare i permessi effettivi lato server.
- Controllare che pacchetti aggiornati, vecchi installer e configurazioni distribuite non reintroducano materiale di autenticazione già revocato.
- Rimuovere le password dalle cache dell’interfaccia e dai log, bonificare gli archivi storici e richiedere la sostituzione delle credenziali interessate.
- Adottare una funzione di derivazione delle password con salt adeguato e costo configurabile, senza normalizzazioni che riducano le differenze tra i valori; pianificare la migrazione dei record esistenti.
- Verificare quale percorso di autenticazione sia effettivamente attivo, inclusi eventuali componenti alternativi e moduli di esportazione; la sola presenza di una libreria più recente non dimostra la correzione del percorso usato.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica della ricerca WinGesfar datata 20 aprile 2026. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.