Divulgazione del 3 novembre 2026
Descrizione
WinGesfar configurava un’origine dati ODBC per il driver AcuXDBC con credenziali predefinite incorporate nella configurazione. Il driver forniva un’interfaccia SQL ai file dati gestiti dal prodotto e ne gestiva la lettura nel normale percorso applicativo.
Componenti interessati
Le vulnerabilità descritte riguardavano l’intero parco installato WinGesfar.
- Driver AcuXDBC e origine dati ODBC registrata dall’installazione.
- Configurazione delle credenziali e del perimetro dei file dati accessibili.
- Eventuale componente server AcuXDBC, distinto dal solo uso locale del driver.
Causa della vulnerabilità
L’accesso all’interfaccia dati era configurato con valori di autenticazione predefiniti distribuiti insieme al software. Questo avrebbe potuto consentire l’utilizzo di un punto di accesso distinto dall’interfaccia utente del gestionale, senza una credenziale personale o specifica dell’installazione. La protezione del dato deve quindi comprendere anche l’interfaccia ODBC e i permessi del processo che la utilizza.
Analisi tecnica
Origine dati e credenziali predefinite
Il rapporto rileva la registrazione automatica di un DSN ODBC per AcuXDBC e la presenza delle credenziali predefinite nella configurazione locale. Il DSN descrive un’origine dati utilizzabile da applicazioni compatibili con ODBC, non soltanto dal gestionale.
La configurazione collegava l’origine dati ai file gestiti dal prodotto. L’accesso tramite ODBC avrebbe potuto consentire la lettura dei file esposti, secondo la credenziale del driver, il perimetro dell’origine dati e i permessi del sistema operativo.
Accesso SQL attraverso il driver
La documentazione descrive l’accesso ai record tramite query SQL attraverso il driver. La lettura e la decodifica del formato dei file Vision erano gestite dal componente stesso: il problema non richiedeva la ricostruzione di un algoritmo di cifratura da parte di chi utilizzava l’interfaccia.
La vulnerabilità riguardava l’autenticazione predefinita sull’interfaccia dati. Un’applicazione avrebbe potuto utilizzare query SQL ordinarie e ottenere accesso senza passare dai controlli dell’interfaccia del gestionale, nei limiti dei permessi assegnati al driver.
Differenza tra utilizzo locale e servizio di rete
Il rapporto distingue il driver locale dall’eventuale componente server AcuXDBC. L’attivazione di un servizio che accetta connessioni di rete può ampliare il perimetro di esposizione, ma non è una conseguenza automatica della sola presenza del DSN.
L’eventuale esposizione di rete sarebbe dipesa dall’attivazione del server, dalle interfacce di ascolto e dalle regole di raggiungibilità. Un servizio accessibile ad altre postazioni avrebbe potuto ampliare il perimetro di accesso; il solo DSN locale non determina l’avvio del servizio di rete.
Prerequisiti e condizioni
- Per il percorso locale occorrono accesso a un contesto in grado di usare il driver e un’origine dati che esponga i file interessati.
- La lettura dei dati resta condizionata al perimetro della configurazione e ai privilegi del processo e dell’account del driver.
- Un accesso da altre postazioni richiede l’effettiva attivazione e raggiungibilità del componente server; questo prerequisito non viene assunto per tutte le installazioni.
Impatto potenziale
Un processo o un soggetto in grado di utilizzare l’origine dati locale e le credenziali predefinite avrebbe potuto leggere i dati esposti dal driver attraverso un’interfaccia SQL distinta da quella del gestionale. La portata sarebbe dipesa dai file configurati e dai privilegi dell’account. Eventuali operazioni di modifica o cancellazione avrebbero richiesto le corrispondenti autorizzazioni; l’accesso da altre postazioni avrebbe richiesto anche un componente server attivo e raggiungibile.
Indicazioni di mitigazione
Applicare la configurazione corretta indicata dal fornitore, sostituire o disabilitare le credenziali predefinite e verificare quali applicazioni abbiano necessità di utilizzare AcuXDBC. La disponibilità di un driver ODBC non costituisce di per sé una vulnerabilità: il problema è il relativo controllo degli accessi.
- Rimuovere o cambiare i valori di autenticazione predefiniti secondo le istruzioni del fornitore e usare account dedicati con privilegi minimi.
- Disabilitare le origini dati e i servizi non necessari, verificando prima le dipendenze del gestionale e delle applicazioni autorizzate.
- Limitare l’accesso al DSN e ai file sottostanti ai soli processi e utenti che ne abbiano necessità.
- Quando un servizio di rete è necessario, limitarne interfacce e raggiungibilità alle sole postazioni autorizzate.
- Verificare che la configurazione aggiornata rifiuti le vecchie credenziali e non esponga dati ulteriori rispetto al perimetro previsto.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica della ricerca WinGesfar datata 20 aprile 2026. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.