Divulgazione del 3 novembre 2026
Descrizione
Alcune query di Magistra erano costruite con concatenazione e formattazione di stringhe, includendo valori e identificatori SQL invece di mantenere una separazione rigorosa tra dati e istruzioni. I percorsi comprendevano operazioni sulle giacenze e sullo stato dei lotti.
Coordinamento della CVD
Divulgazione coordinata delle vulnerabilità (CVD) nell’ambito del coordinamento di ACN / CSIRT Italia.
Consulta l’advisory ufficiale ACN / CSIRT Italia ↗Componenti interessati
Magistra: costruzione dinamica delle query nei percorsi di interrogazione e aggiornamento, comprese giacenze e lotti.
- Query costruite per concatenazione o formattazione di stringhe.
- Selezione dinamica di tabelle e campi.
- Aggiornamento di giacenze e stato dei lotti.
Causa della vulnerabilità
Alcuni percorsi inserivano testo nella sintassi SQL invece di trattarlo esclusivamente come dato. Per gli identificatori dinamici, la separazione richiede anche una scelta esplicita tra nomi consentiti.
Analisi tecnica
Composizione delle istruzioni SQL
Il programma conteneva query con segnaposto testuali e concatenazioni, accanto a query che utilizzavano correttamente parametri. Il problema riguarda i percorsi in cui il testo sostituito partecipava alla struttura dell’istruzione.
Qualora un valore controllabile fosse arrivato a un punto di composizione senza un vincolo efficace, avrebbe potuto modificare il significato della query. La presenza di altre query parametrizzate non protegge automaticamente quelle costruite in modo diverso.
Identificatori dinamici e operazioni gestionali
Alcuni pattern costruivano dinamicamente il nome della tabella o i campi utilizzati negli aggiornamenti delle giacenze. Gli identificatori SQL richiedono un trattamento distinto dai valori associati ai parametri.
Una manipolazione accettata in tali percorsi avrebbe potuto incidere sull’integrità di giacenze o lotti, anche quando riferiti a sostanze soggette a registrazione. La portata concreta sarebbe dipesa dalle funzioni raggiungibili e dalle autorizzazioni effettive.
Condizioni e confini dell’impatto
Per sfruttare il difetto sarebbe stato necessario controllare un input che raggiungeva una delle query interessate. Il solo uso di formattazione non stabilisce che ogni funzione dell’applicazione fosse un punto di ingresso equivalente.
Le operazioni ottenibili sarebbero rimaste legate al contesto SQL e ai privilegi del collegamento al database. Eventuali accessi ad altri dati o azioni ulteriori avrebbero richiesto condizioni aggiuntive, senza implicare automaticamente esecuzione di codice sul sistema operativo.
Prerequisiti e condizioni
- Accesso a una funzione che inoltrava un input controllabile alla costruzione della query.
- Assenza di una validazione efficace sullo specifico percorso interessato.
- Permessi dell’account database sufficienti per l’operazione modificata.
Impatto potenziale
Se un input controllabile avesse raggiunto le query interessate senza una validazione efficace, avrebbe potuto alterarne la struttura e modificare le operazioni previste. L’impatto sui dati, sulle giacenze o sui lotti sarebbe dipeso dal percorso raggiungibile, dal contesto della query e dai privilegi dell’account database.
Indicazioni di mitigazione
Usare parametri per tutti i valori delle query e liste chiuse di identificatori consentiti per tabelle e colonne dinamiche. Applicare autorizzazioni sulle operazioni e privilegi minimi al database.
- Sostituire le interpolazioni dei valori con parametri tipizzati.
- Mappare tabelle, colonne e altre parti strutturali su liste chiuse di identificatori consentiti.
- Applicare autorizzazioni sulle funzioni di modifica e privilegi minimi al collegamento database.
- Verificare i percorsi interessati e l’integrità dei dati dopo l’applicazione delle correzioni.
Stato della correzione
Risoluzione dichiarata dal fornitore
Il fornitore ha comunicato la risoluzione delle vulnerabilità comprese in questo advisory. Il ricercatore non ha potuto verificare le patch, poiché il fornitore non ha offerto questa possibilità. La risoluzione resta pertanto una dichiarazione del fornitore e non una verifica indipendente del ricercatore.
Fonte e aggiornamento
Rapporto tecnico di ricerca Magistra del 14 luglio 2026, limitato ai finding autorizzati per questo advisory. Le descrizioni riguardano le condizioni precedenti alle correzioni dichiarate dal fornitore.
Aggiornamento della scheda: 3 novembre 2026.
Metodo e divulgazione
La scheda descrive le condizioni documentate nella ricerca sui componenti e sugli artefatti del software. I possibili effetti dipendono dai prerequisiti e dai controlli indicati; lo stato della correzione è riportato separatamente. Sono pubblicati soltanto i finding con pubblicabilità confermata, senza credenziali, chiavi o istruzioni di sfruttamento.
Per riscontri tecnici, indicazioni sulle versioni corrette o richieste di rettifica: contatta l’Osservatorio.