Passa ai contenuti principali

Il bug di Squirrel Engine potrebbe consentire ai criminali di hackerare giochi e servizi cloud

I ricercatori hanno scoperto una vulnerabilità di lettura fuori dai limiti nel linguaggio di programmazione Squirrel che può essere abusato dagli aggressori per superare le restrizioni della sandbox ed eseguire codice arbitrario all'interno di uno SquirrelVM, dando così a un malintenzionato l'accesso completo alla macchina sottostante.

Tracciato come CVE-2021-41556 , il problema si verifica quando una libreria di giochi denominata Squirrel Engine viene utilizzata per eseguire codice non attendibile e interessa i rami di rilascio stabili 3.x e 2.x di Squirrel. La vulnerabilità è stata divulgata responsabilmente il 10 agosto 2021.

Squirrel è un linguaggio di programmazione open source e orientato agli oggetti che viene utilizzato per lo scripting di videogiochi, nonché nei dispositivi IoT e nelle piattaforme di elaborazione delle transazioni distribuite come Enduro/X.

"In uno scenario reale, un utente malintenzionato potrebbe incorporare uno script Squirrel dannoso in una mappa della community e distribuirlo tramite il fidato Steam Workshop", hanno affermato i ricercatori Simon Scannell e Niklas Breitfeld. "Quando il proprietario di un server scarica e installa questa mappa dannosa sul suo server, lo script Squirrel viene eseguito, esce dalla sua VM e prende il controllo della macchina server".

Il difetto di sicurezza identificato riguarda un "accesso fuori dai limiti tramite la confusione degli indici" durante la definizione delle classi Squirrel che potrebbero essere sfruttate per dirottare il flusso di controllo di un programma e ottenere il pieno controllo della VM Squirrel.

Sebbene il problema sia stato risolto come parte di un commit di codice inviato il 16 settembre, vale la pena notare che le modifiche non sono state incluse in una nuova versione stabile, con l'ultima versione ufficiale (v3.1) rilasciata il 27 marzo 2016. Si consiglia vivamente ai manutentori che dipendono da Squirrel nei loro progetti di applicare le correzioni più recenti ricostruendolo dal codice sorgente per proteggersi da eventuali attacchi.

Commenti

Popolari

PostgreSQL, grave falla di code injection in pg_dump e utilità di backup (CVE-2025-8714/CVE-2025-8715)

Negli ultimi giorni la community di PostgreSQL ha pubblicato un security advisory che segnala due vulnerabilità critiche appena corrette, catalogate come CVE-2025-8714 e CVE-2025-8715. L’impatto è rilevante perché non riguarda il server in sé ma gli strumenti di backup e ripristino, componenti fondamentali nella gestione quotidiana di qualsiasi database. Le versioni affette includono tutte quelle fino a 17.5 compresa, mentre le patch sono state rilasciate con le nuove release 17.6, 16.10, 15.14, 14.19 e 13.22. Il problema principale è una possibilità di code injection durante le operazioni di restore. Un dump SQL creato da pg_dump o pg_dumpall può contenere meta-comandi psql come \!, che normalmente permettono l’esecuzione di comandi di shell. Questi comandi, se incorporati da un attaccante all’interno di nomi di oggetti del database, non venivano adeguatamente sanitizzati e al momento del ripristino venivano interpretati dal client. Il risultato è l’esecuzione arbitraria di comandi su...

Stefano De Martino e Caroline Tronelli, attacco alle Telecamere di casa... Come difendersi?

Ogni volta che parlo con mia mamma della sua webcam per controllare il cane quando non c’è in casa, le dico sempre: “Fai attenzione, proteggi bene la tua telecamera, cambia la password, aggiorna il firmware, non lasciare tutto aperto al mondo.” E puff, appena qualche giorno dopo, succede l’ennesimo fattaccio. Stavolta a farne le spese sono stati Stefano De Martino e la sua compagna Caroline Tronelli: hacker sono riusciti ad accedere alle loro telecamere domestiche e a rubare video privati, diffondendoli online. È un episodio che ci ricorda quanto sia fragile la nostra privacy digitale, anche nelle mura di casa. Gli attacchi alle telecamere IP non sono fantasia: spesso sfruttano password deboli, firmware non aggiornati o configurazioni di rete poco sicure. Per chi non è esperto, può sembrare complicato, ma ci sono alcune regole base che chiunque può seguire per proteggersi. Prima di tutto, non usare mai password standard o facili da indovinare, e dove possibile attiva l’autenticazione ...

15,8 milioni di credenziali PayPal in chiaro finiscono in vendita sul dark web

Un utente di un noto forum di hacking, conosciuto con lo pseudonimo Chucky_BF, ha messo in vendita un archivio contenente oltre 15,8 milioni di credenziali PayPal, complete di email e password in chiaro. L’annuncio, comparso il 18 agosto 2025, ha immediatamente attirato l’attenzione di ricercatori e giornalisti specializzati, dato che la dimensione del database e la tipologia di dati esposti lo rendono uno dei dump più significativi degli ultimi mesi. Secondo le prime analisi, il dataset non proverrebbe da una violazione diretta dei sistemi PayPal, ma piuttosto da tecniche di compromissione laterale, come l’utilizzo di malware infostealer o il riutilizzo di credenziali raccolte tramite campagne di phishing e credential stuffing. L’ipotesi è supportata dal fatto che PayPal ha negato qualsiasi nuova intrusione, collegando la fuga di dati a eventi già noti risalenti ad alcuni anni fa. Gli infostealer rappresentano oggi una delle principali fonti di raccolta credenziali sul dark web: insta...