Rilevate vulnerabilità nei prodotti Qualcomm, di cui una con gravità “critica” e otto con gravità “alta”. Nel dettaglio, tali vulnerabilità potrebbero consentire ad un utente malintenzionato l’esecuzione di codice arbitraria, accedere a informazioni riservate, compromettere la disponibilità del servizio, l’escalation di privilegi e il bypass dei meccanismi di sicurezza sui sistemi interessati.
Disponibile un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità CVE-2025-59840 – già sanata dal vendor – presente in Kibana, nota piattaforma di visualizzazione dati. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di eseguire codice arbitrario sui sistemi interessati.
Rilevata una vulnerabilità di sicurezza con gravità “alta” nel prodotto XWiki Platform, piattaforma collaborativa open source scritta in Java. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di accedere a informazioni sensibili sui sistemi interessati.
Rilevata una vulnerabilità con gravità “alta” nel framework Apache Struts. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di compromettere la disponibilità del servizio sui sistemi interessati.
Aggiornamenti di sicurezza risolvono una vulnerabilità in OpenVPN, software open-source per la creazione di reti private virtuali (VPN). Tale vulnerabilità potrebbe consentire a un utente malintenzionato di accedere a informazioni sensibili e/o compromettere la disponibilità del servizio sul sistema interessato.
Google ha rilasciato gli aggiornamenti di sicurezza di dicembre per sanare diverse vulnerabilità, tra cui due 0-day, che interessano il sistema operativo Android.
Rilevata una vulnerabilità con gravità “alta” nel framework Apache bRPC. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato di compromettere la disponibilità del servizio sui sistemi interessati.
Rilevate vulnerabilità in prodotti MediaTek, di cui 13 con gravità “alta”. Tali vulnerabilità, qualora sfruttate, potrebbero consentire a un utente malintenzionato l’accesso a informazioni sensibili e la compromissione della disponibilità del servizio sui sistemi interessati.
Disponibile un Proof of Concept (PoC) per la CVE-2025-34299 – già sanata dal vendor – presente in Monsta FTP, client FTP per ambienti web. Tale vulnerabilità, qualora sfruttata, potrebbe permettere a utenti malintenzionati remoti di eseguire codice arbitrario sul sistema target tramite un server FTP opportunamente predisposto.
Aggiornamenti di sicurezza risolvono due vulnerabilità in Mattermost, piattaforma di messaggistica e collaborazione open source pensata soprattutto per le aziende, disponibile sia in versione self-hosted che Cloud. Le vulnerabilità permettono, tramite la manipolazione di dati e token di autenticazione, di ottenere il controllo degli account utente.
Rilevate due nuove vulnerabilità di cui una con gravità "critica" nel prodotto Twonky Server di Lynx Technology. Tale vulnerabilità potrebbe consentire ad un utente malintenzionato di eludere i meccanismi di autenticazione sui sistemi target.
Impatto Sistemico Critico (77.17) Sintesi Rilevate due vulnerabilità di cui una con gravità “alta” nel prodotto GeoServer, software open source per l’elaborazione di dati geospaziali.
CSIRT Toscana