Aggiornamenti recenti Novembre 21st, 2024 2:11 PM
partner
News Recenti
- Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
- Google scopre 26 nuove vulnerabilità con l’IA di OSS-Fuzz
- Una grave data breach ha colpito le aziende statunitensi di telecomunicazioni
- Scoperta una nuova variante del ransomware Helldown che colpisce Linux
- Una vulnerabilità di un plugin di WordPress mette a rischio più di 4 milioni di siti
- Le falle di sicurezza nei toolkit ML più diffusi
Vulnerabilità 3CX: la compagnia chiede ai clienti di disabilitare le integrazioni coi database
Pochi giorni fa 3CX, fornitore di soluzioni per i centralini telefonici e videoconferenze, ha esortato i propri clienti a disabilitare alcune integrazioni coi database a causa di una vulnerabilità presente in alcune configurazioni.
Le integrazioni colpite sono quelle con MongoDB, MsSQL, MySQL e PostgreSQL. La compagnia ha spiegato che si tratta di una disattivazione temporanea in attesa che venga rilasciata una patch di sicurezza. Le versioni della piattaforma di 3CX colpite dalla vulnerabilità sono la 18 e la 20.
Per disattivare l’integrazione è sufficiente accedere alle impostazioni del CRM dalla console di gestione e selezionare “Nessuna” tra le soluzioni proposte. Le integrazioni CRM web-based non sono vulnerabili.
In un post sul blog dell’azienda Nick Galea, CEO di 3CX, ha spiegato che i template di integrazione “possono essere soggetti ad attacchi di SQL injection se il server 3CX è raggiungibile dal web e non ci sono firewall a proteggere la macchina”; in caso di attacco, gli aggressori possono manipolare le query sul database per esfiltrare o compromettere i dati presenti.
L’azienda ha rilasciato un hotfix pochi giorni dopo l’avviso di sicurezza e ha invitato i propri clienti ad aggiornare la piattaforma. La soluzione prevede un template SQL per costruire query parametrizzate ed evitare la SQL injection. “In generale consigliamo fortemente di utilizzare API web moderne e sicure, non query SQL dirette” scrive Galea.
La compagnia ha specificato che attualmente solo lo 0.25% dei suoi clienti ha il database SQL integrato e che la configurazione vulnerabile è di vecchia data; in ogni caso è importante che questi clienti aggiornino il software il prima possibile o disabilitino l’integrazione se non strettamente necessaria.
Condividi l'articolo
Scoperta NKAbuse, la piattaforma che sfrutta il protocollo NKN per creare botnet
CERT-AGID: ecco le campagne malevole nella settimana del 09/15 Dicembre 2023
Articoli correlati
Altro in questa categoria
Approfondimenti
-
Google scopre 26 nuove vulnerabilità con l’IA di... Google ha annunciato di aver trovato 26 nuove... -
Aumentano le compromissioni di account email delle forze... L’FBI ha lanciato un allarme: stando a un avviso... -
Scoperta CRON#TRAP, campagna che emula ambienti Linux per... I ricercatori di Securonix hanno scoperto CRON#TRAP, una... -
Report APT ESET: i gruppi filo-cinesi e iraniani... Le minacce APT sono in aumento e in molti casi stanno... -
Kaspersky ha collaborato a Synergia II, operazione... Kaspersky ha collaborato a Synergia II, operazione...
Minacce recenti
Off topic
-
Cyberinsurance: misurare il rischio umano può... Negli ultimi anni sempre più aziende stanno sottoscrivendo... -
Il machine learning di Kaspersky aumenta la capacità di... Grazie al machine learning, il Global Research and Analysis... -
I vertici aziendali non sono del tutto pronti alle nuove... Il 2024 è l’anno delle nuove normative di sicurezza:... -
Più della meta delle aziende geo-distribuite ha problemi... Una delle sfide principali delle aziende distribuite sul... -
In Microsoft le paghe dei manager dipenderanno dal livello... L’ultimo non è stato un buon anno per Microsoft:...
Post recenti
-
Google scopre 26 nuove vulnerabilità con l’IA di... Google ha annunciato di aver trovato 26 nuove...
-
Una grave data breach ha colpito le aziende statunitensi di... Una campagna di spionaggio a opera di hacker cinesi ha... -
Scoperta una nuova variante del ransomware Helldown che... I ricercatori di Sekoia hanno individuato una nuova... -
Una vulnerabilità di un plugin di WordPress mette a... István Márton, ricercatore di Wordfence, ha individuato... -
Le falle di sicurezza nei toolkit ML più diffusi La sicurezza dei toolkit ML continua a essere minacciata...
Ransomware: la serie
No posts found.
