Divulgazione del 3 novembre 2026
Descrizione
Nei percorsi locali di Infantia/Profim e Venere, livelli amministrativi e abilitazioni erano conservati come valori modificabili nel database clinico. Il client usava tali dati per stabilire le funzioni disponibili, senza una protezione indipendente dello stato di autorizzazione.
Componenti interessati
Infantia, Profim e Venere: livelli e abilitazioni conservati nei database locali dell’archivio clinico.
- Tabelle locali dei livelli e dei permessi.
- Controlli del client sulle funzioni disponibili.
- Permessi di scrittura e integrità dei record.
Causa della vulnerabilità
Il client assumeva attendibili livelli e abilitazioni nello stesso archivio modificabile dal contesto locale. Un soggetto in grado di alterarlo avrebbe potuto influenzare la decisione di autorizzazione, anziché ricevere permessi da una fonte indipendente e protetta.
Analisi tecnica
Livelli e abilitazioni locali
Il database conservava un livello di accesso e flag per funzioni o moduli. Infantia/Profim comprendevano abilitazioni per gli archivi dei pazienti; in Venere i permessi coprivano più moduli clinici e amministrativi.
L’alterazione avrebbe potuto cambiare il profilo riconosciuto dal client. Il dato di autorizzazione necessita quindi di protezione rispetto alla scrittura ordinaria dell’archivio.
Modifica esterna e decisione del client
Il percorso rilevante era la modifica dei record fuori dalle funzioni previste per gestire i permessi. La capacità di effettuare tale modifica è un prerequisito dell’eventuale escalation.
Se il client avesse accettato i valori senza un controllo indipendente, il soggetto avrebbe potuto assumere un livello o un insieme di abilitazioni più ampio. Il controllo deve riguardare le operazioni oltre alla visualizzazione dei comandi.
Protezione dello stato e delle operazioni
La correzione deve stabilire chi possa scrivere i record, come sia tutelata l’integrità del contenuto e quale componente decida l’autorizzazione. Nascondere un comando non protegge un record modificabile attraverso un altro percorso.
Ogni operazione clinica o amministrativa deve controllare un’identità e permessi attendibili al momento dell’esecuzione. Tale verifica avrebbe potuto impedire che la modifica locale si traducesse in nuove capacità.
Prerequisiti e condizioni
- Accesso in scrittura ai record dei livelli e delle abilitazioni.
- Accettazione dei valori modificati dal componente che esegue l’operazione.
- Assenza di una verifica indipendente capace di rifiutare l’operazione.
Impatto potenziale
Chi avesse potuto scrivere i record di autorizzazione avrebbe potuto modificare livelli o permessi e tentare di ottenere funzioni ulteriori. Le conseguenze avrebbero potuto comprendere accesso ad archivi o moduli non assegnati all’operatore, secondo i controlli effettivi dell’applicazione. Il percorso richiedeva la modifica dello stato locale, non la sola conoscenza dell’identificativo di un paziente.
Indicazioni di mitigazione
Proteggere lo stato di autorizzazione dalla scrittura non autorizzata e applicare controlli indipendenti sulle operazioni sensibili, anche dopo modifiche effettuate fuori dall’interfaccia.
- Limitare la scrittura dei record alle identità e ai componenti necessari.
- Separare la decisione di autorizzazione dai dati modificabili dall’utente ordinario.
- Controllare i permessi su ogni operazione sensibile.
- Verificare che modifiche esterne a livelli e flag non consentano nuove operazioni.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Documentazione tecnica di ricerca Phronesis, Venere e Infantia/Profim del 10 luglio 2026, limitata ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.