L'Istituto olandese per la divulgazione delle vulnerabilità (DIVD) afferma che la violazione della propria rete è stata possibile perché gli attaccanti hanno sfruttato una catena di due vulnerabilità zero-day in Zammad, il sistema di ticketing open-source. La violazione del DIVD tramite lo zero-day di Zammad è un monito chiaro: anche le organizzazioni il cui compito è trovare e segnalare le falle di sicurezza possono essere colte di sorpresa da difetti che nessuno conosceva ancora.

Le informazioni disponibili finora sono brevi, quindi questo articolo si attiene a quanto è stato dichiarato e spiega perché è importante.

Come la catena zero-day di Zammad ha violato il DIVD

Secondo il DIVD, l'intrusione nella sua rete è stata resa possibile concatenando due distinte vulnerabilità zero-day in Zammad. Uno zero-day è una falla sconosciuta al fornitore o per cui non è disponibile una patch nel momento in cui viene sfruttata, il che lascia ai difensori nessuna correzione pronta.

La concatenazione è importante. Una vulnerabilità può dare a un attaccante un punto d'appoggio o un accesso limitato, mentre una seconda gli consente di spingersi oltre, ad esempio elevando i privilegi o raggiungendo sistemi che dovrebbero essere fuori portata. Combinate, due bug moderati possono sommarsi fino a una compromissione grave.

Zammad è una piattaforma open-source di help desk e ticketing, comunemente auto-ospitata dalle organizzazioni per gestire le richieste di supporto. Il riepilogo della fonte non dettaglia la natura tecnica delle due falle, e non intendiamo tirare a indovinare. I lettori dovrebbero tenere d'occhio gli avvisi ufficiali e le patch del progetto Zammad e del DIVD.

Cosa cambia per i difensori un attacco guidato dall'IA

Il titolo descrive la violazione come guidata dall'IA, e l'angolazione suggerita osserva che gli strumenti di IA avrebbero accelerato l'attacco. I dettagli su come esattamente l'IA sia stata utilizzata non sono nel materiale che abbiamo, quindi sarebbe un errore esagerarne la portata.

La preoccupazione generale resta comunque degna di essere compresa. L'automazione può accorciare il tempo tra la scoperta di una debolezza e il suo sfruttamento. Se gli strumenti aiutano un attaccante a scoprire, testare e concatenare le vulnerabilità più rapidamente, la finestra di reazione a disposizione dei difensori si riduce. Questo dà più peso a:

  • Applicare rapidamente le patch una volta rilasciate le correzioni
  • Limitare ciò che un'applicazione esposta a Internet può raggiungere all'interno della rete
  • Un monitoraggio che catturi precocemente comportamenti anomali, invece di affidarsi a firme note

Niente di tutto questo è un motivo per farsi prendere dal panico. È un motivo per trattare la gestione dell'esposizione come un processo continuo anziché come un audit occasionale.

Perché i sistemi di ticketing contengono più dati sensibili di quanto si pensi

Un sistema di ticketing sembra uno strumento banale, ma spesso raccoglie una quantità sorprendente di informazioni. Le persone descrivono i loro problemi in testo libero, allegano screenshot e log, e includono nomi, indirizzi email, dettagli degli account e talvolta credenziali o informazioni sui sistemi interni. Per un'organizzazione che si occupa di divulgazione delle vulnerabilità, i ticket possono anche riguardare problemi di sicurezza non ancora risolti.

Questo rende queste piattaforme bersagli attraenti. Si trovano tra il pubblico e i team interni, sono spesso raggiungibili da Internet e conservano una lunga storia di conversazioni che pochi pensano a ripulire.

Lo stesso schema si ritrova altrove. Nella violazione di Adidas che ha coinvolto un fornitore terzo, i dati di contatto dei clienti sono stati ottenuti attraverso un fornitore di servizi clienti compromesso. La lezione è simile: l'infrastruttura di supporto può diventare il punto debole anche quando i sistemi aziendali principali sono meglio protetti. L'esposizione dei dati può verificarsi anche in modi meno diretti, come nel caso in cui gli agenti di OpenAI hanno pubblicato 53 immagini di ChatGPT su siti pubblici senza autorizzazione, un promemoria del fatto che le informazioni condivise con un servizio possono viaggiare oltre dove gli utenti se lo aspettano.

Cosa significa per te

Se hai contattato il DIVD o gli hai segnalato una vulnerabilità, tieni d'occhio le comunicazioni ufficiali dell'organizzazione per sapere se le tue informazioni sono state coinvolte. Non abbiamo conferma dalla fonte su quali dati siano stati consultati, quindi evita di presumere il peggio, ma resta vigile sulle notifiche di follow-up.

Se usi Zammad o uno strumento di ticketing auto-ospitato simile, questo è un buon momento per verificare la tua esposizione. Per tutti gli altri, il messaggio riguarda le abitudini: i dettagli che consegni ai servizi di supporto possono risiedere in un sistema che non conosci affatto, gestito da un fornitore che non hai scelto.

Cosa dovrebbero verificare ora organizzazioni e utenti

Per le organizzazioni che gestiscono Zammad:

  • Controlla il progetto Zammad e il DIVD per gli avvisi di sicurezza e applica prontamente eventuali patch.
  • Verifica se la tua istanza deve essere esposta direttamente a Internet e mettila dietro controlli di accesso dove possibile.
  • Segmenta il server dai sistemi interni affinché una compromissione non diventi un problema esteso all'intera rete.
  • Esamina i log per attività anomale e ruota le credenziali che potrebbero comparire in vecchi ticket.
  • Imposta regole di conservazione affinché i vecchi ticket con contenuti sensibili non vengano conservati indefinitamente.

Per gli individui:

  • Condividi il minimo necessario con i team di supporto ed evita di inviare password, documenti d'identità completi o dettagli di pagamento nei ticket.
  • Usa password uniche per ogni servizio, così un ticket trapelato non può sbloccare altri account.
  • Sii cauto con email inaspettate che fanno riferimento a una precedente richiesta di supporto, poiché gli attaccanti possono usare i dettagli trapelati dei ticket per apparire convincenti. Il caso Mayer Brown Luna Moth mostra come l'impersonificazione possa funzionare anche senza una vera compromissione del sistema.

Il messaggio da portare a casa

La violazione del DIVD tramite lo zero-day di Zammad dimostra che le piattaforme di supporto e ticketing meritano lo stesso scrutinio di qualsiasi altro sistema critico. Applica le patch rapidamente, limita l'esposizione e cancella i dati di cui non hai più bisogno. Come lettore, prenditi qualche minuto per rivedere quali informazioni personali hai condiviso con i servizi di supporto e i fornitori, e considera come una violazione presso uno di essi potrebbe riguardarti. Per un esempio parallelo di sistemi di servizio clienti che diventano il punto debole, leggi la nostra copertura della violazione del fornitore terzo di Adidas.