Scoperta una nuova vulnerabilità in Glibc che, secondo gli esperti, potrebbe colpire centinaia o addirittura migliaia di device, app e servizi.
Scoperta una nuova vulnerabilità che, secondo gli esperti, potrebbe colpire centinaia o addirittura migliaia di device, app e servizi. Anche se per il momento è difficile quantificare la dimensione del problema.
Gli ingegneri di Google, lavorando al fianco degli esperti di sicurezza Red Hat, hanno rilasciato una patch correttiva.
Ora sta ai produttori e alla community Linux utilizzare la patch il prima possibile, per evitare che software a device vengano colpiti.
In un post che spiegava la scoperta, il team di Google ha specificato come la vulnerabilità fosse in alcuni codici di uso comune, che potevano essere sfruttati per avere accesso a device di tutti i tipi, dai computer ai router fino a qualsiasi altro oggetto connesso.
Il codice può anche convivere con molti dei cosìddetti “building blocks” del web, ovvero linguaggi di programmazione come PHP e Python oppure sistemi usati per loggarsi nei siti o per accedere alle email.
Sembra che la falla non sia mai stata sfruttata pubblicamente. Adesso che è stata resa pubblica, tuttavia, l’aggiornamento è assolutamente consigliato visto che eventuali aggressori potrebbero prendere di mira i sistemi ancora vulnerabili.
Il bug è stato trovato in glibc, libreria open-source ampiamente usata nei device connessi a internet, e converte i domini web andando a impiantare un codice maligno nella memoria del device sotto attacco. L’attacco però non è dei più semplici, come ha sottolineato Google.
L’entità del pericolo tuttavia è difficile da determinare perché non è chiaro quanti device facciano uso della libreria glibc.
Quel che è certo è che i dispositivi Android sono basati su Linux ma non utilizzano glibc, e sono quindi di fatto invulnerabili e esterni a questa falla di sicurezza. Anche i sistemi principali come Windows o OS X non sono colpiti. Gli altri produttori, soprattutto quelli di piccoli device connessi, devono testare i loro sistemi e utilizzare la patch rilasciata da Google.
Sembra che questo bug fosse presente in glibc fin dal 2008 e sia stato scoperto lo scorso mese di luglio, ma era stato contrassegnato con bassa priorità. Ora è stato paragonato a Shellshock, vulnerabilità scoperta nel 2014 che colpì una vasta gamma di device.
