Redazione RHC : 11 Maggio 2022 18:44
Ricercatore: Massimo Chirivì
URL Disclosure: https://hackerhood.redhotcyber.com/cve-2022-27909-jdownloads
NVD Link: https://nvd.nist.gov/vuln/detail/CVE-2022-27909
HackerHood, l’iniziativa di Red Hot Cyber che ha unito in un gruppo di hacker etici una serie di ricercatori di sicurezza che effettuano “bug hunting”, ha iniziato a scaldare i motori ed ha emesso la sua prima CVE.
La CVE in questione riguarda jDownloads, un completo Download Manager per il premiato Content Management System (CMS) Joomla. È un’estensione GPL gratuita con molte funzioni speciali che semplifica la gestione dei download.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Questo Componente/Plugin è utilizzato anche in molte PA italiane dove viene utilizzato il Content management System Joomla.
La vulnerabilità rilevata era su un componente relativo al noto CMS Joomla. Il componente è stato oggetto di analisi da parte del team di Hackerood durante un’attività di ricerca. La vulnerabilità permette ad un utente registrato di poter visualizzare (ma non scaricare) i nomi dei file riservati di altri utenti.
Una volta rilevata, il ricercatore di sicurezza Massimo Chirivì, ha immediatamente prodotto il report di disclosure inviandolo al vendor, avviando in questo modo la Coordinate Vulnerability Disclosure.
Nel frattempo ha registrato la nuova CVE in stato reserved presso il National Vulnerability Database degli Stati Uniti D’America.
Non appena il vendor ha rilasciato la fix di sicurezza, ha proceduto ad eliminare la reservation effettuando la full-disclosure all’interno del sito si HackerHood, dove la potete trovare a questa URL.
Nel momento in cui scriviamo l’articolo, la vulnerabilità risulta in valutazione della Severity da parte del National Institute of Standards and Technology (NIST)
All’interno della community di Red Hot Cyber, prende forma l’iniziativa “HackerHood”. Si tratta di un gruppo di hacker etici appassionati di divulgazione e condivisione, che hanno accettato di far accrescere la consapevolezza al rischio informatico, attraverso una serie di iniziative pratiche.
Tutto questo (in completa aderenza al manifesto di RHC Communication), consentirà di incentivare le persone alla condivisione delle informazioni, in modo professionale ed etico, promuovendo innovazione e ricerca in ambito IT.
Spesso molti specialisti nel settore dimenticano i principi fondamentali della community hacker, che sono sempre stati trasparenza, collaborazione ed etica. In particolare, in Italia, vediamo i singoli assumere un atteggiamento di completa chiusura verso la “conoscenza”, evitando di trametterla in quanto tale conoscenza è potere (“0wned”).
L’Open Source “invece” ci ha insegnato che questo modello ha il suo valore per un tempo limitato e che dopo è costretto a sgretolarsi; questo perché molte persone non hanno compreso che “condividere è un dovere etico” per ognuno di noi, ovvero mettere a disposizione le proprie esperienze per consentire alla community di innalzare il livello di consapevolezza al rischio informatico, e questo non è mai stato tanto vero come in questo difficile periodo storico, soprattutto in Italia.
Le iniziative che sono state previste all’interno di Hacker Hood in questo momento sono le seguenti:
Questo modello open source, consente di superare la logica del titolo di studio e della certificazione in ambito technical assessment, lasciando spazio ai singoli tester di dimostrare in campo il proprio valore e le proprie capacità, fornendo nel contempo a tutta la community italiana ed internazionale un grande servizio, oltre che ad un messaggio molto profondo.
Si tratta di una chiamata alle armi contro il cybercrime, che al tempo stesso permette di divulgare consapevolezza incentivando la collaborazione, la trasparenza e l’etica nelle persone e soprattutto nei più giovani che si avvicinano a questa materia.
Tutti vedono oggi la cybersecurity come un business, un modello di espansione, quando invece la cybersecurity è collettività, collaborazione, etica e incentivazione. Si tratta di un bene di primaria necessità come l’acqua e il pane ed è per questo che Hacker Hood vuole sottrarre un po’ di business dalle aziende, regalando il nostro sapere alla comunità, in quanto tutti oggi tutti devono avere accesso alla conoscenza del rischio informatico.
RHC sta gettando un “piccolo seme” in un terreno poco fertile, con la speranza che possa germogliare anche con un cielo gonfio di nuvole nere e di piogge acide.
Per poter partecipare al programma, devi essere in possesso di esperienze in ambito Pentesting , developement exploit, bug hunting e malware analysis ed inviarle alla casella di posta [email protected].
“Tieni Il Mento Alto. Un Giorno Ci Sarà Di Nuovo La Felicità A Nottingham, Vedrai.” (Robin Hood)
Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Quando Jeffrey Goldberg dell’Atlantic ha fatto trapelare accidentalmente un messaggio di gruppo privato di alti funzionari statunitensi su un possibile attacco contro gli Houthi nello Yemen, ha...
Ogni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...
La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006