Squidbleed

Una falla di sicurezza rimasta nascosta per quasi trent'anni è appena venuta a galla grazie a Claude Mythos, l'intelligenza artificiale di Anthropic considerata talmente potente da non essere stata resa pubblica. Il difetto, che risale addirittura al 1997, permetteva a un malintenzionato di rubare credenziali e password di altri utenti collegati alla stessa rete. Per ventinove anni è sfuggito sia agli audit condotti dagli esperti umani sia agli strumenti di sicurezza più classici. Claude Mythos è la versione più avanzata dell'IA di Anthropic, riservata alle aziende che fanno parte del progetto Glasswing. E continua a stupire. Questa volta ha individuato una vulnerabilità in Squid, uno dei server proxy web più diffusi sul pianeta. Parliamo di un software presente in migliaia di aziende, scuole e perfino a bordo degli aerei di linea, dove gestisce il traffico internet degli utenti. Una falla nascosta in un dettaglio tecnico I ricercatori della società Calif.io hanno battezzato questo difetto con il nome di Squidbleed. È comparso nel codice di Squid nel 1997, ben ventinove anni fa, e tutto nasce da una vecchia funzionalità integrata nel software, ovvero la gestione del protocollo FTP, un vecchio sistema per trasferire file su internet. Negli anni Novanta gli sviluppatori avevano aggiunto un piccolo pezzo di codice per far funzionare Squid anche con i server NetWare, un programma di rete molto diffuso nelle imprese di allora. Quei server mostravano l'elenco dei loro file in un formato leggermente diverso dagli altri. Ed è proprio da quel frammento di codice che è nato Squidbleed. Qualche settimana fa i ricercatori hanno chiesto a Claude Mythos di scansionare l'intero codice di Squid. In poco tempo l'intelligenza artificiale ha notato qualcosa che non quadrava. Il bug si annida in un dettaglio davvero minuscolo. Quando il programma legge un elenco di file FTP, usa un'istruzione che dovrebbe ignorare gli spazi all'interno di un testo. Peccato che quell'istruzione si comporti in modo imprevisto quando arriva alla fine del testo. Invece di fermarsi, continua ad avanzare nella memoria e finisce per leggere dati che non le appartengono, magari quelli di un altro utente. Credenziali di accesso, token di sessione, password in chiaro possono così finire nelle mani di chi sfrutta la falla. Una potenziale catastrofe per i tanti utenti di Squid. Per decenni il problema è rimasto sotto traccia, senza che nessun ricercatore mettesse mai il dito su quel comportamento anomalo. Gli esperti hanno classificato la vulnerabilità come moderata. Per sfruttarla, infatti, bisogna già essere un utente legittimo del proxy preso di mira e controllare un server FTP raggiungibile da quel proxy. Il traffico HTTPS, che oggi rappresenta la stragrande maggioranza delle connessioni, non è toccato dal problema. Una correzione è stata inserita nell'aggiornamento Squid v7.6 per chiudere la falla. Diecimila falle scovate da Mythos Non è la prima volta che Claude Mythos porta a galla una vulnerabilità sconosciuta annidata nel codice da anni. L'IA aveva già ritrovato un difetto vecchio di ventisette anni nel sistema OpenBSD, usato per far girare firewall critici, e un bug presente da sedici anni in FFmpeg, una libreria video impiegata su milioni di dispositivi. Dalla sua nascita, Mythos ha stanato più di 10.000 vulnerabilità all'interno di software open source.

Squidbleed

Squidbleed, l’IA Claude Mythos scopre una falla in Squid dopo 29 anni