Impatto Sistemico

Medio (61.92)

Sintesi

Nell’ambito del processo di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure – CVD), si rendono note le vulnerabilità individuate da ricercatori di sicurezza, e coordinate da questo CSIRT in collaborazione con il vendor interessato, relative al prodotto di Galeno Sistemi Magistra, software per la gestione del laboratorio galenico di farmacia.

Tipologia

• Tampering
• Data Manipulation
• Information Disclosure
• Authentication Bypass

Descrizione e potenziali impatti

La vulnerabilità identificata tramite la CVE-2026-112168, di tipo “Cleartext storage of sensitive information” e con score CVSS v4.0 pari a 6.0, è dovuta all’impiego congiunto di un algoritmo di cifratura non adeguato e di un algoritmo di compressione obsoleto per la gestione dei dati memorizzati nel database, nonché alla presenza di informazioni sensibili incorporate nel codice. Lo sfruttamento di tale vulnerabilità potrebbe consentire a un attaccante di compromettere la riservatezza delle informazioni sensibili conservate nel database.

La vulnerabilità identificata tramite la CVE-2026-112169, di tipo “Authentication bypass using an alternate path or channel” e con score CVSS v4.0 pari a 6.1, è riconducibile alla presenza di una funzionalità di backdoor non documentata che compromette i meccanismi di autenticazione. Un attaccante potrebbe sfruttare tale vulnerabilità per aggirare i controlli di autenticazione e creare un account utente privilegiato senza fornire credenziali valide, ottenendo accesso non autorizzato al sistema target.

La vulnerabilità identificata tramite la CVE-2026-112170, di tipo “Download of code without integrity check” e con score CVSS v4.0 pari a 6.3, è dovuta alla mancata verifica dell’integrità dei file prelevati durante la procedura di aggiornamento del software. Lo sfruttamento della vulnerabilità potrebbe consentire a un attaccante di alterare o sostituire i file di aggiornamento con contenuti malevoli, inducendone l’installazione sul sistema interessato.

La vulnerabilità identificata tramite la CVE-2026-112171, di tipo “Improper neutralization of special elements used in an SQL command” e con score CVSS v4.0 pari a 4.4, è dovuta a una non adeguata gestione degli input controllabili dall’utente durante la costruzione delle query SQL. Un attaccante potrebbe sfruttare la vulnerabilità, inviando istruzioni opportunamente predisposte, per accedere senza autorizzazione ai dati memorizzati nel database, modificarli o accedere indebitamente al loro contenuto.

Prodotti e/o versioni affette

Galeno Sistemi Magistra, versione 3.12

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili attraverso i canali di distribuzione del vendor.