-
Pubblicato in NotizieIl framework open-source Next.JS ha una CVE con severità 9.1 che permette il bypass dell’autenticazione
Recentemente, è stata scoperta una grave vulnerabilità nel framework Next.JS, sviluppato da Vercel, identificata come CVE-2025-29927, con un punteggio di severità CVSS di 9.1. Questa falla consente agli aggressori di bypassare i controlli di autenticazione implementati tramite middleware, permettendo l’accesso non autorizzato a risorse protette.La scoperta di questa vulnerabilità ha suscitato preoccupazione nella comunità di sviluppatori e ha spinto Vercel a intraprendere azioni tempestive (ma non troppo) per mitigarne l’impatto. Cos’è un middleware di autenticazione? Un middleware di autenticazione è un componente software riutilizzabile, ormai presente in quasi tutti i framework, che gestisce l’accesso autenticato alle risorse web. Grazie a…
-
Pubblicato in NotizieUbuntu 24.04 ha tre problemi di sicurezza con AppArmor ed i Namespace che al momento vanno sistemati manualmente
L’azienda di sicurezza Qualys ha annunciato la scoperta di tre distinte modalità che consentirebbero di aggirare i controlli standard della distribuzione Ubuntu e che riguardano i Namespace non privilegiati del Kernel Linux. I Namespace, per chi non lo sapesse, sono una componente nativa del Kernel Linux e rappresentano la base del funzionamento dei container. I Namespace sono il “recinto” che, unito ai CGroups (Control Groups) che determinano quante e quali risorse sono accessibili, formano la struttura all’interno della quale l’immagine del container viene creata per lanciare il suo eseguibile. Incredibile a dirsi, ma in fondo l’intero web si basa su…
-
Pubblicato in NotiziePensate che GRUB non sia molto sviluppato poiché è una componente core? Ci sono 73 patch che dimostrano il contrario!
Quando si parla di software “storici” come GRUB viene sempre in mente un pensiero, tutto sommato, logico: una volta che il bootloader svolge la sua funzione principale, quali potrebbero mai essere le evoluzioni significative necessarie? Eppure GRUB deve essere costantemente aggiornato. Per restare compatibile con nuovi filesystem, hardware e tecnologie di avvio come UEFI e Secure Boot, per gestire vulnerabilità come BootHole che richiedono patch di sicurezza, per ottimizzazioni e bugfix che ne migliorano stabilità e prestazioni. Insomma, anche se il suo compito sembra immutabile, l’evoluzione dell’ecosistema hardware e software lo rende un progetto in continuo sviluppo. Certo però leggendo…
-
Pubblicato in NotizieMirantis colpisce ancora: k0s e k0smotron sono stati donati alla Linux Foundation ed ora appartengono alla community!
3 risposte
Come recita il sito Foss Force, sembra che il mese di marzo sia stato percepito dalle aziende che operano nel contesto open-source come il mese del “dona il tuo progetto alla Linux Foundation“! Pochi giorni fa infatti avevamo raccontato della donazione da parte di IBM di tre diversi software legati all’intelligenza artificiale alla Cloud Native Computing Foundation (CNCF) (che fa parte della Linux Foundation da sempre), ecco che oggi riportiamo una mossa simile da parte di Mirantis. L’azienda potrebbe risultare semi sconosciuta ai più, ma vale la pena ricordare uno o due dettagli che la riguardano. Il primo è che…
-
Pubblicato in NotizieLinux 6.14: la “pura incompetenza” di Linus Torvalds e le novità nella nuova release del Kernel
2 risposte
Domenica 23 marzo, qualcosa di insolito è accaduto nel mondo del Kernel Linux: Linus Torvalds ha dimenticato di rilasciare la versione 6.14! Nessun imprevisto dell’ultimo minuto, nessun problema tecnico. Semplicemente, come lo stesso Torvalds ha ammesso, è stata “pura incompetenza”: I’d like to say that some important last-minute thing came up and delayed things. But no. It’s just pure incompetence. Because absolutely nothing last-minute happened yesterday, and I was just clearing up some unrelated things in order to be ready for the merge window. And in the process just entirely forgot to actually ever cut the release. D’oh. Mi piacerebbe…
-
Pubblicato in NotizieIngress NGINX, utilizzato ovunque in Kubernetes, ha una vulnerabilità critica di tipo Remote Code Execution
3 risposte
La prima domanda che un neofita di Kubernetes si fa è: tutto bello, ma come faccio a far raggiungere i miei servizi dall’esterno? È una domanda legittima poiché gli elementi Service funzionano solo a livello cluster, quindi internamente sono visibili da chi ne fa parte, ma dall’esterno le cose si complicano. Una delle soluzioni più utilizzate, che consente di esporre in maniera rapida i servizi HTTP, è un ingress controller. Di fatto si tratta di un reverse proxy che sta in ascolto per connessioni HTTP entranti (quindi porte 80 e 443) sui nodi control-plane ed in base ad un set…
-
Pubblicato in NotizieLa lotta di Cloudflare per un cloud più sicuro, con l’impiego di AI realmente utili ed il blocco di HTTP non cifrato
Da tempo l’azienda Cloudflare, che fornisce servizi che vanno dalla protezione contro attacchi DDoS alla gestione della rete di distribuzione dei contenuti, porta avanti la sua battaglia per un cloud più sicuro. Già nell’ormai lontano 2023 avevamo parlato dei problemi che il provider aveva scoperto relativi al protocollo HTTP e, purtroppo, le cose nel tempo non sono migliorate. Un aspetto interessante che lega Cloudflare all’open-source nel suo approccio alla sicurezza e alla difesa contro l’uso non autorizzato dei dati è l’utilizzo di soluzioni innovative e, in un certo senso, hackeristiche nel senso più positivo del termine. Un esempio perfetto di…
-
Pubblicato in NotizieUna GitHub Action è stata compromessa e rischia di esporre i dati sensibili di 23.000 repository
C’è una tempesta in corso in GitHub che riguarda le Actions, lo strumento della piattaforma dedicato agli automatismi di promozione del codice, dove una componente tra le più usate è stata compromessa ed è diventata un rischio per i repository che la utilizzano. Si chiama tj-actions/changed-files, ed è una di quelle GitHub Actions preconfezionate che uno straordinario numero di persone pone all’interno delle proprie configurazioni di Continuous Integration, il cui ruolo è di tracciare tutti i file modificati, aggiunti o rimossi in un repository. Il problema è stato tracciato nella CVE CVE-2025-30066, con punteggio 8.6 (HIGH). All’interno del report pubblicato…
Categories
Tag cloud
ai (118) AlmaLinux (36) Android (37) Bug (90) Canonical (98) CentOS (49) Cloud (64) codice (38) container (56) Controversia (51) Debian (118) desktop (37) docker (66) Fedora (69) Firefox (41) GitHub (85) Google (90) IBM (60) Intel (58) KDE (45) Kernel (305) Kubernetes (104) Linux (862) LTS (37) Malware (72) Microsoft (205) MicrosoftLovesLinux (37) Mozilla (42) open-source (500) Openstack (58) Oracle (37) Patch (38) Red Hat (183) Release (74) RHEL (45) Rust (48) SaturdaysTalks (54) Sicurezza (154) Software (45) SUSE (44) systemd (83) Torvalds (105) Ubuntu (202) Vulnerabilità (73) Windows (92)
6 risposte