Divulgazione del 3 novembre 2026
Descrizione
Magistra includeva un percorso di autenticazione non documentato basato su un codice fisso comune alle installazioni. Il ramo alternativo creava un contesto utente privilegiato senza verificare le credenziali di un account esistente.
Coordinamento della CVD
Divulgazione coordinata delle vulnerabilità (CVD) nell’ambito del coordinamento di ACN / CSIRT Italia.
Consulta l’advisory ufficiale ACN / CSIRT Italia ↗Componenti interessati
Magistra: ramo alternativo del dialogo di autenticazione e autorizzazioni di gestione utenti. Il rapporto riscontra il meccanismo nelle serie 3.12 e 3.13 precedenti alle correzioni dichiarate.
- Dialogo di autenticazione dell’applicazione.
- Creazione del contesto utente privilegiato.
- Funzioni di gestione account e reimpostazione delle password.
Causa della vulnerabilità
Un valore fisso incorporato nel programma attivava un ramo alternativo rispetto alla verifica delle credenziali. Il controllo di accesso dipendeva quindi anche dalla conoscenza di un segreto distribuito con il prodotto.
Analisi tecnica
Percorso alternativo di autenticazione
Il programma riconosceva un codice comune alle installazioni e costruiva un contesto privilegiato senza richiedere le credenziali valide di un utente esistente. Il percorso non richiedeva una prova individuale dell’identità di chi lo utilizzava.
Chi avesse conosciuto il valore e avesse potuto interagire con il dialogo di autenticazione avrebbe potuto attivare quel ramo. La condizione riguarda l’accesso all’applicazione, senza presupporre un servizio remoto liberamente raggiungibile.
Autorizzazioni di gestione utenti
Il contesto creato dal percorso alternativo disponeva dell’autorizzazione per la gestione degli utenti. Le funzioni comprendevano creazione ed eliminazione di account e reimpostazione delle password.
Queste operazioni avrebbero potuto modificare gli accessi degli utenti legittimi o predisporre ulteriori account. L’estensione ad altre funzioni e ai dati sarebbe dipesa dalle autorizzazioni risultanti e dai controlli delle singole operazioni.
Segreto condiviso nel client
Il materiale necessario ad attivare il percorso era presente nel binario e non era specifico della singola installazione. La sua riservatezza dipendeva quindi dalla distribuzione del programma, anziché da un’autenticazione individuale.
La correzione richiede di eliminare il ramo improprio e di mantenere le procedure di recupero soggette a verifiche esplicite. La sola modifica di un codice condiviso avrebbe lasciato invariato il difetto del modello di autenticazione.
Prerequisiti e condizioni
- Accesso al dialogo di autenticazione dell’applicazione, direttamente o attraverso un accesso alla postazione.
- Conoscenza del valore che attivava il percorso alternativo.
- Presenza del ramo vulnerabile nella versione utilizzata.
Impatto potenziale
La conoscenza del codice e l’accesso al dialogo applicativo avrebbero potuto consentire l’ingresso con autorizzazioni di gestione utenti. Da quel contesto sarebbe stato possibile intervenire sugli account e sulle password secondo le funzioni disponibili, con possibili ulteriori accessi dipendenti dai permessi effettivi.
Indicazioni di mitigazione
Rimuovere il percorso di autenticazione alternativo e ogni codice di sblocco condiviso. Richiedere autenticazione e autorizzazioni esplicite anche per assistenza, recupero degli accessi e amministrazione degli utenti.
- Installare le correzioni del fornitore che rimuovono il percorso alternativo.
- Verificare che la gestione utenti richieda un’identità autenticata e un’autorizzazione amministrativa esplicita.
- Riesaminare account, ruoli e procedure di recupero degli accessi.
- Adottare recuperi individuali, temporanei e revocabili, senza segreti comuni al prodotto.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Rapporto tecnico di ricerca Magistra del 14 luglio 2026, limitato ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.