Premi Invio per cercare

← Torna indietro

Denial of Service (DoS) tramite Flood di Pacchetti UDP sulla scheda di rete Genius Brain 24

#GE-26-136
Descrizione

Un’anomalia nella gestione dello stack di rete integrato sul modulo LAN-X delle centrali Genius Brain 24 rende il dispositivo vulnerabile a un attacco di Denial of Service (DoS). Un attaccante non autenticato, inviando una sequenza continua e massiva di pacchetti UDP malformati sulla porta di gestione (di default la 8888), può sovraccaricare il buffer della memoria RAM della scheda logica, causandone il riavvio spontaneo o il blocco temporaneo dei servizi di rete.

Prodotti interessati
Brand Genius
Famiglia Prodotto Controllo accessi
Modello / Hardware Centrale di comando Genius Brain 24 (Modulo LAN-X)
Versione FW v.2.8.1
Versione SW N/D
Impatto

Lo sfruttamento congiunto di questo bug non espone in alcun modo i codici di accesso degli utenti né permette l’apertura fisica del varco associato. Tuttavia, il blocco temporaneo costringe la centrale a isolarsi dalla rete locale, impedendo la sincronizzazione in tempo reale dei log di transito e il controllo remoto dell’automazione tramite i software di gestione della portineria.

Mitigazioni

Fino all’applicazione della patch ufficiale, si raccomandano le seguenti contromisure tecniche:

  • Configurare una regola di firewall per bloccare il traffico UDP in entrata sulla porta 8888 proveniente da reti esterne o non autorizzate.
  • Isolare le centrali Genius Brain 24 all’interno di una VLAN dedicata e protetta, separata dalla normale rete aziendale o Wi-Fi ospiti.
Soluzione

La vulnerabilità è stata risolta introducendo un meccanismo di Rate Limiting sui pacchetti in ingresso e un controllo più stringente sulla sanificazione dei buffer UDP. L’anomalia è stata corretta con il rilascio del firmware v2.8.2. Si raccomanda a tutti gli amministratori di sistema di pianificare l’aggiornamento dei moduli di rete alla prima finestra di manutenzione utile.

Crediti

L'anomalia è stata identificata in modo indipendente dal reparto IT interno di FAAC Technologies durante una sessione programmata di Penetration Testing perimetrale.

Cronologia

22 Maggio 2026: Rilascio ufficiale della Security Advisory (Versione 1.0) in concomitanza con la distribuzione della patch di sicurezza.