Warnings About Retrobright Damaging Plastics After 10 Year Test

Within the retro computing community there exists a lot of controversy about so-called ‘retrobrighting’, which involves methods that seeks to reverse the yellowing that many plastics suffer over time. While some are all in on this practice that restores yellow plastics to their previous white luster, others actively warn against it after bad experiences, such as [Tech Tangents] in a recent video.
Uneven yellowing on North American SNES console. (Credit: Vintage Computing)
After a decade of trying out various retrobrighting methods, he found for example that a Sega Dreamcast shell which he treated with hydrogen peroxide ten years ago actually yellowed faster than the untreated plastic right beside it. Similarly, the use of ozone as another way to achieve the oxidation of the brominated flame retardants that are said to underlie the yellowing was also attempted, with highly dubious results.

While streaking after retrobrighting with hydrogen peroxide can be attributed to an uneven application of the compound, there are many reports of the treatment damaging the plastics and making it brittle. Considering the uneven yellowing of e.g. Super Nintendo consoles, the cause of the yellowing is also not just photo-oxidation caused by UV exposure, but seems to be related to heat exposure and the exact amount of flame retardants mixed in with the plastic, as well as potentially general degradation of the plastic’s polymers.

Pending more research on the topic, the use of retrobrighting should perhaps not be banished completely. But considering the damage that we may be doing to potentially historical artifacts, it would behoove us to at least take a step or two back and consider the urgency of retrobrighting today instead of in the future with a better understanding of the implications.

youtube.com/embed/_n_WpjseCXA?…

hackaday.com/2025/12/05/warnin…

Cloudflare di nuovo in down: disservizi su Dashboard, API e ora anche sui Workers

Cloudflare torna sotto i riflettori dopo una nuova ondata di disservizi che, nella giornata del 5 dicembre 2025, sta colpendo diversi componenti della piattaforma.

Oltre ai problemi al Dashboard e alle API, già segnalati dagli utenti di tutto il mondo, l’azienda ha confermato di essere al lavoro anche su un aumento significativo degli errori relativi ai Cloudflare Workers, il servizio serverless utilizzato da migliaia di sviluppatori per automatizzare funzioni critiche delle loro applicazioni.

Un’altra tessera che si aggiunge a un mosaico di criticità non trascurabili.

Come sottolineano da anni numerosi esperti di sicurezza informatica, affidare l’infrastruttura di base del web a una manciata di aziende significa creare colli di bottiglia strutturali. E quando uno di questi nodi si inceppa – come accade con Cloudflare – l’intero ecosistema ne risente.

Un intoppo può bloccare automazioni, API personalizzate, redirect logici, funzioni di autenticazione e perfino sistemi di sicurezza integrati. Un singolo malfunzionamento può generare un effetto domino ben più vasto del previsto.

A complicare ulteriormente la situazione, oggi è in corso anche una manutenzione programmata nel datacenter DTW di Detroit, con possibile rerouting del traffico e incrementi di latenza per gli utenti dell’area. Sebbene la manutenzione sia prevista e gestita, la concomitanza con i problemi ai Workers e al Dashboard aumenta il livello di incertezza. In alcuni casi specifici – come per i clienti PNI/CNI che si collegano direttamente al datacenter – certe interfacce di rete potrebbero risultare temporaneamente non disponibili, causando failover forzati verso percorsi alternativi.

Il nodo cruciale resta lo stesso: questa centralizzazione espone il web a rischi enormi dal punto di vista operativo e di sicurezza. Quando una piattaforma come Cloudflare scricchiola, anche solo per qualche ora, si indeboliscono le protezioni DDoS, i sistemi anti bot, le regole firewall, e si creano finestre di vulnerabilità che gli attaccanti più preparati potrebbero tentare di sfruttare.

La dipendenza da un unico colosso per funzioni così delicate è un punto di fragilità che non può più essere ignorato.

Il precedente blackout globale – documentato con grande trasparenza da Cloudflare stessa e analizzato da Red Hot Cyber – aveva messo in luce come un errore interno nella configurazione del backbone potesse mandare offline porzioni significative del traffico mondiale.

Oggi non siamo (ancora) di fronte a un guasto di tale entità, ma la somma di più disservizi simultanei riporta alla memoria quel caso e solleva dubbi sulla resilienza complessiva dell’infrastruttura.

Il nuovo down di Cloudflare, questa volta distribuito su più livelli della piattaforma, dimostra quanto l’Internet moderno sia fragile e quanto la sua affidabilità dipenda da pochi attori. Le aziende – piccole o grandi – che costruiscono i propri servizi sopra queste fondamenta dovrebbero iniziare a considerare seriamente piani di ridondanza multi-provider. Perché quando un singolo punto cade, rischia di cadere mezzo web.

L'articolo Cloudflare di nuovo in down: disservizi su Dashboard, API e ora anche sui Workers proviene da Red Hot Cyber.

Backdoor Brickstorm: le spie cinesi sono rimasti silenti nelle reti critiche per anni

Le spie informatiche cinesi sono rimaste nascoste per anni nelle reti di organizzazioni critiche, infettando le infrastrutture con malware sofisticati e rubando dati, avvertono agenzie governative ed esperti privati.

Secondo un avviso congiunto di CISA, NSA e Canadian Cyber Security Centre, almeno otto agenzie governative e aziende IT sono state vittime della backdoor Brickstorm , che opera in ambienti Linux, VMware e Windows.

La dichiarazione del portavoce di CISA, Nick Andersen, sottolinea anche la portata del problema: afferma che il numero effettivo delle vittime è probabilmente più alto e che Brickstorm stessa è una piattaforma “estremamente avanzata” che consente agli operatori cinesi di radicarsi nelle reti per anni, gettando le basi per il sabotaggio.

In uno degli incidenti indagati da CISA, gli aggressori hanno ottenuto l’accesso a una rete interna nell’aprile 2024, hanno scaricato Brickstorm su un server VMware vCenter e hanno mantenuto l’accesso almeno fino all’inizio di settembre.

Durante questo periodo, sono riusciti a penetrare nei controller di dominio e in un server ADFS, rubando chiavi crittografiche. Google Threat Intelligence, che è stata la prima a descrivere Brickstorm in autunno, esorta tutte le organizzazioni a scansionare la propria infrastruttura. Gli analisti stimano che decine di aziende negli Stati Uniti siano già state colpite da questa campagna e gli aggressori continuano a perfezionare i propri strumenti.

Mandiant collega gli attacchi al gruppo UNC5221 e ha documentato compromissioni in vari settori, dai servizi legali e dai fornitori SaaS alle aziende tecnologiche. Gli esperti sottolineano che l’hacking dei dispositivi edge e l’escalation verso vCenter sono diventate tattiche comuni per gli aggressori, che possono anche prendere di mira vittime a valle.

In un rapporto separato, CrowdStrike attribuisce Brickstorm al gruppo Warp Panda, attivo almeno dal 2022, e descrive vettori di attacco simili, tra cui l’infiltrazione negli ambienti VMware di aziende statunitensi e lo svolgimento di attività di intelligence per il governo cinese.

Secondo CrowdStrike, in diversi casi Warp Panda ha inoltre implementato impianti Go precedentemente sconosciuti, Junction e GuestConduit, su server ESXi e macchine virtuali, e ha preparato dati sensibili per l’esfiltrazione. Alcuni incidenti hanno interessato anche il cloud Microsoft Azure: gli aggressori hanno ottenuto token di sessione, hanno incanalato il traffico attraverso Brickstorm e hanno scaricato materiale sensibile da OneDrive, SharePoint ed Exchange. Sono persino riusciti a registrare nuovi dispositivi MFA, garantendo una persistenza furtiva e a lungo termine negli ambienti guest.

Gli specialisti di Palo Alto Networks confermano la continuità e la profondità della penetrazione di questi gruppi. Secondo gli analisti di Unit 42, gli operatori cinesi utilizzano file unici e backdoor proprietarie per ogni attacco, rendendone estremamente difficile l’individuazione.

La loro prolungata e occulta attività all’interno delle reti rende difficile valutare l’effettivo danno e consente agli aggressori di pianificare operazioni su larga scala molto prima che la loro presenza venga rilevata.

L'articolo Backdoor Brickstorm: le spie cinesi sono rimasti silenti nelle reti critiche per anni proviene da Red Hot Cyber.

Cyber-Guardoni all’attacco: hacker sudcoreani spiavano 120.000 telecamere e ne facevano video per adulti

La polizia sudcoreana ha segnalato l’arresto di quattro individui che, presumibilmente in modo indipendente, hanno compromesso oltre 120.000 telecamere IP. Secondo gli investigatori, almeno due di loro lo hanno fatto per rubare video da luoghi come studi ginecologici. Hanno poi modificato i filmati trasformandoli in video pornografici e li hanno venduti online.

Secondo i media locali, due dei quattro sospettati (i cui nomi sono stati omessi) erano impiegati in ufficio, mentre gli altri erano elencati come disoccupati o lavoratori autonomi. Solo due degli arrestati erano responsabili della maggior parte degli attacchi informatici: circa 63.000 e 70.000 dispositivi compromessi, installati in abitazioni private e proprietà commerciali.

Telecamere e video per adulti dalle case di tutti

I criminali hanno venduto i video rubati dalle telecamere su un sito web che la polizia chiamava semplicemente “Sito C”, guadagnando rispettivamente 35 milioni di won (23.800 dollari) e 18 milioni di won (12.200 dollari).

Gli altri due imputati hanno hackerato rispettivamente 15.000 e 136 telecamere.

Non sono ancora state formulate accuse nei confronti degli arrestati, poiché le indagini sono in corso. Le autorità hanno inoltre comunicato di aver arrestato tre persone che avevano acquistato video simili.

“I crimini commessi tramite telecamere IP causano gravi traumi alle vittime. Sradicheremo questa minaccia indagando proattivamente su tali crimini”, ha affermato Park Woo-hyun, capo dell’unità investigativa sui crimini informatici dell’Agenzia di Polizia Nazionale.

Secondo la polizia, gli aggressori hanno sfruttato principalmente password predefinite deboli e combinazioni predefinite facilmente violabili tramite forza bruta.

Le forze dell’ordine hanno visitato 58 luoghi in cui le telecamere erano state hackerate per avvisare i proprietari dei dispositivi compromessi e fornire consigli sulla sicurezza delle password.

Best practices per mettere in sicurezza le telecamere IP

Per ridurre drasticamente il rischio di compromissione, gli esperti raccomandano le seguenti misure:

1. Cambiare subito le password predefinite

• Le password di fabbrica sono la prima cosa che gli attaccanti testano.
• Scegli password lunghe, complesse e uniche per ogni dispositivo.

2. Attivare l’autenticazione a due fattori (2FA)

• Quando disponibile, riduce enormemente la possibilità di accesso non autorizzato.

3. Aggiornare regolarmente il firmware

• I produttori rilasciano patch che correggono vulnerabilità note.
• Imposta gli aggiornamenti automatici quando possibile.

4. Disabilitare l’accesso remoto se non necessario

• Molti attacchi avvengono tramite Internet.
• Se devi accedere da remoto, usa una VPN invece dell’esposizione diretta.

5. Limitare l’accesso alla rete

• Isola le telecamere su una rete separata (VLAN) o guest network.
• Evita che siano raggiungibili da tutti i dispositivi della casa o dell’ufficio.

6. Controllare le porte esposte

• Evita il port forwarding indiscriminato su router e modem.
• Blocca porte non necessarie e monitora eventuali connessioni sospette.

7. Disattivare servizi inutilizzati

• UPnP, P2P e altri servizi remoti possono essere sfruttati dagli attaccanti.
• Mantieni attivi solo i servizi indispensabili.

8. Preferire telecamere IP di produttori affidabili

• Marchi poco affidabili potrebbero non garantire aggiornamenti di sicurezza.
• Verifica sempre la reputazione del brand e la disponibilità di patch.

9. Monitorare regolarmente i log

• Controlla accessi, tentativi falliti e comportamenti anomali.

10. Cambiare periodicamente le credenziali

• Riduce il rischio che credenziali compromesse restino valide a lungo.

L'articolo Cyber-Guardoni all’attacco: hacker sudcoreani spiavano 120.000 telecamere e ne facevano video per adulti proviene da Red Hot Cyber.

CTI e Dark Web: qual è il confine invisibile tra sicurezza difensiva e reato?

Il panorama della sicurezza informatica moderna è imprescindibile dalla conoscenza della topografia del Dark Web (DW), un incubatore di contenuti illeciti essenziale per la criminalità organizzata. In tale contesto, il Dark Web Monitoring (DWM) e la Cyber Threat Intelligence (CTI) sono emersi come pratiche fondamentali, spesso obbligatorie, per la protezione degli asset digitali e la prevenzione di una fuga di dati (data leakage).

L’attività proattiva di DWM consente il rilevamento di minacce critiche, come credenziali e documenti d’identità rubati, che alimentano reati di spear phishing e credential stuffing. Tuttavia, in Italia, l’imperativo di sicurezza privato si scontra con il principio di legalità e la riserva statale delle indagini, poiché i consulenti privati non godono dei poteri processuali riservati agli organi di Polizia Giudiziaria.

La valutazione della legittimità delle azioni del professionista deve procedere bilanciando l’interesse difensivo con la tutela penale. La mia osservazione, come avvocato penalista e docente di Diritto penale dell’informatica, è che la corretta difesa e la prevenzione del rischio non possono prescindere da una profonda conoscenza di questo bilanciamento costituzionale tra diritto di difesa e riserva di legge penale.

Il pericolo di commettere delitti

Il rischio penale principale che incombe sul professionista della cybersecurity che opera nel Dark Web è l’integrazione del reato di Accesso Abusivo a sistema informatico o telematico (Art. 615-ter c.p.). Il bene giuridico tutelato da questa norma è l’ambiente informatico stesso, che la giurisprudenza ha equiparato a un “luogo inviolabile” o a uno spazio privato. La condotta criminosa si perfeziona con l’accesso o il mantenimento nel sistema “senza diritto” e contro la volontà del gestore.

L’analisi critica della Cyber Threat Intelligence (CTI) impone una netta distinzione tra due scenari operativi. L’osservazione passiva (CTI legittima) si verifica se il professionista naviga su pagine del Dark Web che sono aperte e non protette da autenticazione. Tale attività, configurandosi comeopen source intelligence (OSINT) e avvenendo in assenza di misure di sicurezza da superare, generalmente non integra la fattispecie dell’Art. 615-ter c.p., poiché la tutela penale è rivolta al sistema (il contenitore) e non alla liceità del contenuto. Al contrario, si configura accesso attivo e infiltrazione (accesso abusivo) se il professionista compie un atto di credential stuffing, utilizzando credenziali rubate per autenticarsi in un forum protetto o in un pannello di controllo.

In questo caso, si configura il reato, poiché l’interesse difensivo del privato non può prevalere sulla tutela penale del sistema informatico, anche se ostile o criminale, che non sempre ,ma tal volta trova tutela. Ai professionisti che mi consultano, ricordo sempre che la finalità difensiva non è una scriminante penale implicita; l’accesso abusivo è un reato di pericolo che si perfeziona con la mera intrusione non autorizzata.

Oltre all’accesso abusivo, il DWM espone anche al rischio di detenzione abusiva di codici di accesso (Art. 615-quater c.p.). Per mitigare tale pericolo e dimostrare la finalità di tutela, è imperativo che la procedura operativa preveda l’immediata trasformazione dei dati sensibili raccolti in un formato non reversibile, come l’hashing, conservando solo l’informazione strettamente necessaria, in conformità con i principi di minimizzazione dei dati. Cautela è inoltre richiesta nella gestione di segreti commerciali altrui rubati.

Il trattamento dei dati personali raccolti e la compliance gdpr

La raccolta e la successiva analisi di dati personali provenienti dal Dark Web costituiscono un nuovo trattamento e, come tale, devono essere fondate su una base giuridica legittima ai sensi del GDPR. Per il Dark Web Monitoring (DWM), la base più plausibile e invocabile è l’Interesse Legittimo (Art. 6, par. 1, lett. f), poiché risponde all’interesse vitale dell’organizzazione di proteggere il proprio patrimonio digitale e di garantire una tempestiva risposta agli incidenti (incident response).

Tuttavia, l’applicazione dell’Interesse Legittimo non è automatica. Richiede l’esecuzione di un rigoroso Legitimate Interest Assessment (LIA), il quale impone un test di bilanciamento tra l’interesse difensivo del Titolare e i diritti e le libertà fondamentali dell’interessato, la vittima del furto di dati.

Dato che la fonte è criminale e l’interessato non si aspetta che i suoi dati rubati siano raccolti da un CTI provider privato, il bilanciamento è considerato “forte”, richiedendo massime garanzie di mitigazione. La misura cruciale per superare con successo il LIA è la minimizzazione del trattamento. Ciò significa evitare categoricamente l’overcollection e l’overretention, limitando la raccolta alle sole informazioni indispensabili per la difesa. La conservazione integrale e illimitata nel tempo di dati rubati è contraria alla normativa; è fondamentale implementare la pseudonimizzazione (ad esempio, tramite hashing) dei dati identificativi non necessari e definire tempi di conservazione strettamente limitati. Infine, sussistono precisi obblighi di trasparenza e notifica.

La rilevanza probatoria e i limiti istituzionali dei professionisti privati

Nel contesto di un’indagine giudiziaria, la capacità di conferire valore probatorio ai dati raccolti dal Dark Web Monitoring (DWM) da parte di attori privati rappresenta una delle sfide procedurali più acute. L’unico percorso legale che può legittimare l’acquisizione di tali elementi è incanalare strettamente l’attività nel perimetro delle investigazioni difensive, come disciplinato dall’Art. 391-bis del Codice di Procedura Penale (c.p.p.). Questo inquadramento richiede un mandato formale conferito dal difensore e garantisce che l’uso della documentazione sia strettamente limitato alle esigenze dell’esercizio della difesa.

Tuttavia, è fondamentale sottolineare un limite invalicabile del nostro ordinamento: la procedura difensiva non ha il potere di sanare l’illiceità sostanziale della condotta originaria. Ciò significa che se l’atto di acquisizione, sebbene finalizzato alla difesa, viola di per sé una norma penale-ad esempio l’Art. 615-ter c.p. attraverso un accesso abusivo-il dato raccolto sarà considerato illegittimamente acquisito e, di conseguenza, inutilizzabile nel dibattimento. La necessità operativa non può, in sede processuale, prevalere sulla tutela del domicilio informatico garantita dalla legge penale.

Parallelamente ai vincoli procedurali, l’ammissibilità e l’efficacia della prova digitale sono assolutamente dipendenti dal rispetto degli standard internazionali di digital forensics. I dati informatici sono intrinsecamente volatili e facilmente alterabili; pertanto, la loro integrità e autenticità devono essere garantite per evitare che l’autorità giudiziaria li consideri contaminati o inattendibili. L’acquisizione non può limitarsi all’uso di semplici screenshot, che hanno spesso un mero valore suggestivo e non probatorio. Al contrario, essa deve avvenire attraverso la creazione di una copia forense certificata del dato originale (come una bitstream copy).

Come docente, insisto sull’importanza di questa metodologia- L’efficacia della prova digitale è direttamente proporzionale alla sua correttezza epistemologica; non basta contestare un dato, bisogna contestare il metodo di acquisizione. Tale processo deve assicurare la piena e ininterrotta tracciabilità della catena di custodia (chain of custody), documentando meticolosamente ogni passaggio, al fine di garantire l’immutabilità e l’identità dell’elemento probatorio. solo attraverso questa rigorosa aderenza ai protocolli forensi, il professionista privato può sperare di dotare il materiale raccolto della credibilità necessaria per sostenere una tesi difensiva in sede legale.

Raccomandazioni operative

L’analisi svolta evidenzia chiaramente che l’attività di Dark Web Monitoring (DWM) da parte di professionisti privati si svolge in Italia in una complessa zona grigia di incertezza normativa. Il professionista è costantemente esposto a una triade di rischi legali interconnessi.

In primo luogo, il rischio penale è massimo quando l’attività sfocia nell’infiltrazione attiva (ad esempio, l’uso di credenziali rubate per accedere a sistemi protetti), potendo integrare il reato di cui all’Art. 615-ter c.p.

In secondo luogo, il rischio GDPR è sempre presente in caso di overcollection o di mancata esecuzione del Legitimate Interest Assessment (LIA), esponendo l’organizzazione a sanzioni amministrative salate.

Infine, il rischio procedurale neutralizza l’efficacia dell’intelligence raccolta se manca la rigorosa adozione della Chain of Custody e degli standard forensi.

Proprio per questa incertezza normativa, il mio consiglio è di non agire mai nella grey area senza un preventivo e documentato parere, che valuti il rischio e tracci il perimetro operativo lecito del defensive monitoring.

Per operare in modo lecito e minimizzare tale esposizione, l’organizzazione e il consulente devono necessariamente adottare un robusto modello di protocollo legale-tecnico (gcl – governance, compliance, legal). Per quanto riguarda la governance cti, l’attività deve essere rigorosamente limitata alla consultazione osint. Sul fronte degli adempimenti GDPR (preventivi), è imperativo garantire il principio di privacy by design attraverso l’hashing o la pseudonimizzazione immediata. Infine, in sede di protocolli forensi (successivi), qualunque dato acquisito destinato a essere utilizzato come prova deve essere trattato come una copia forense certificata e deve essere mantenuta una tracciabilità documentale ininterrotta della chain of custody.

L’attuale assetto giuridico, fortemente ancorato alla riserva statale in materia di ricerca della prova, costringe l’operatore privato a muoversi con estrema cautela. Ciò solleva la questione delle prospettive de jure condendo. Si rileva l’urgente necessità di una revisione legislativa che riconosca e scriminI esplicitamente la legittima attività difensiva e di prevenzione del crimine informatico svolta da soggetti privati (defensive monitoring). Solo attraverso un esplicito riconoscimento del lawful hacking-se limitato all’analisi difensiva e non volto all’attacco-sarà possibile risolvere in modo definitivo il conflitto tra l’inderogabile imperativo di sicurezza aziendale e la protezione penale degli interessi in gioco e consentire al settore della cybersecurity di operare con la certezza del diritto che la crescente minaccia informatica richiede.

L'articolo CTI e Dark Web: qual è il confine invisibile tra sicurezza difensiva e reato? proviene da Red Hot Cyber.

Off-Grid, Small-Scale Payment System

An effective currency needs to be widely accepted, easy to use, and stable in value. By now most of us have recognized that cryptocurrencies fail at all three things, despite lofty ideals revolving around decentralization, transparency, and trust. But that doesn’t mean that all digital currencies or payment systems are doomed to failure. [Roni] has been working on an off-grid digital payment node called Meshtbank, which works on a much smaller scale and could be a way to let a much smaller community set up a basic banking system.

The node uses Meshtastic as its backbone, letting the payment system use the same long-range low-power system that has gotten popular in recent years for enabling simple but reliable off-grid communications for a local area. With Meshtbank running on one of the nodes in the network, accounts can be created, balances reported, and digital currency exchanged using the Meshtastic messaging protocols. The ledger is also recorded, allowing transaction histories to be viewed as well.

A system like this could have great value anywhere barter-style systems exist, or could be used for community credits, festival credits, or any place that needs to track off-grid local transactions. As a thought experiment or proof of concept it shows that this is at least possible. It does have a few weaknesses though — Meshtastic isn’t as secure as modern banking might require, and the system also requires trust in an administrator. But it is one of the more unique uses we’ve seen for this communications protocol, right up there with a Meshtastic-enabled possum trap.

hackaday.com/2025/12/05/off-gr…

Allarme Apache: falle SSRF e credenziali NTLM esposte. Admin, aggiornate subito!

Un aggiornamento significativo è stato distribuito dalla Apache Software Foundation per il diffuso Apache HTTP Server, correggendo un totale di cinque vulnerabilità di sicurezza distinte. È raccomandato che gli amministratori eseguano questo aggiornamento il prima possibile al fine di assicurare che la loro infrastruttura web sia protetta contro i vettori individuati.

La versione 2.4.66, appena rilasciata, rappresenta una correzione complessiva di problematiche che includono sia loop infiniti durante il rinnovo dei certificati sia possibili perdite di credenziali NTLM su sistemi operativi Windows.

Due delle vulnerabilità individuate, classificate come “moderate”, costituiscono rischi specifici per le configurazioni di hosting condiviso che impiegano suexec e per gli ambienti Windows, mentre le restanti tre sono etichettate come “bassa” gravità.

Tra le correzioni più significative di questo aggiornamento figura il CVE-2025-59775, una falla di sicurezza relativa alla falsificazione delle richieste lato server (SSRF) che interessa Apache HTTP Server in esecuzione su Windows. Questa vulnerabilità, considerata di gravità moderata, si verifica a causa dell’interazione tra le impostazioni AllowEncodedSlashes On e MergeSlashes Off.

Secondo quanto affermato nella nota, questa configurazione “consente di divulgare potenzialmente hash NTLM a un server dannoso tramite SSRF e richieste o contenuti dannosi”. Ciò potrebbe consentire agli aggressori di raccogliere credenziali dall’ambiente server, rendendola una patch prioritaria per gli amministratori Windows.

La seconda falla di gravità moderata, il CVE-2025-66200, riguarda l’interazione tra mod_userdir e suexec. Questa vulnerabilità consente di aggirarla tramite la direttiva AllowOverride FileInfo. Il report osserva che “gli utenti con accesso alla direttiva RequestHeader in htaccess possono causare l’esecuzione di alcuni script CGI con un ID utente inaspettato”. Ciò interrompe di fatto l’isolamento previsto della funzionalità suexec, fondamentale per la sicurezza in ambienti multiutente.

L’aggiornamento risolve ulteriori tre problemi di lieve gravità che, sebbene meno critici, potrebbero interrompere le operazioni o creare comportamenti imprevisti:

• Ciclo infinito (CVE-2025-55753): un bug in mod_md (ACME) può causare un overflow durante i rinnovi di certificati non riusciti. Questo crea un potenziale scenario di esaurimento delle risorse.
• Problema relativo alla stringa di query (CVE-2025-58098): riguarda i server che utilizzano Server Side Includes (SSI) con mod_cgid. L’avviso afferma che il server “passa la stringa di query con escape della shell alle direttive #exec cmd=’…'”.
• Variable Override (CVE-2025-65082): questa falla riguarda “variabili impostate tramite la configurazione di Apache che sostituiscono inaspettatamente le variabili calcolate dal server per i programmi CGI”.

Si consiglia agli utenti di aggiornare alla versione 2.4.66 , che risolve il problema

L'articolo Allarme Apache: falle SSRF e credenziali NTLM esposte. Admin, aggiornate subito! proviene da Red Hot Cyber.

Vulnerabilità critiche in Splunk Enterprise e Universal Forwarder