Credenziali in chiaro in memoria: Johnson Controls corregge una falla medium nel Simplex Incident Manager

Il 20 agosto 2026 la CISA ha pubblicato l’advisory ICSA-26-232-01, ripresa dalla Product Security Advisory di Johnson Controls JCI-PSA-2026-28. La segnalazione riguarda CVE-2026-27875, una vulnerabilità di classe CWE-316 nel software Simplex Incident Manager. La falla consente a un utente locale con privilegi bassi di estrarre credenziali di autenticazione dalla memoria di sistema.

La scoperta e la pubblicazione

La vulnerabilità è stata segnalata a CISA direttamente da Johnson Controls Inc., azienda con sede in Irlanda e distribuzione mondiale. Il vendor opera in settori critici, tra cui manifatturiero critico, strutture commerciali, servizi e strutture governative, sistemi di trasporto ed energia. L’advisory è la ripubblicazione iniziale della JCI-PSA-2026-28.

Al momento della pubblicazione non risultano sfruttamenti pubblici noti segnalati a CISA. La falla non è sfruttabile da remoto e richiede un’alta complessità di attacco. Questo riduce il rischio immediato, ma non elimina la necessità di intervento per gli ambienti che gestiscono infrastrutture critiche.

Prodotti e versioni: un quadro non univoco

L’advisory CISA indica come prodotto interessato Johnson Controls Simplex Incident Manager, con versione fino alla 2.01 inclusa (stato “known_affected”). La scheda NVD, invece, identifica il prodotto come “Simplex Incident Manager / Autocall Fire Administrator” e segnala come affette le versioni precedenti alla 2.01.05.

Il nome Autocall Fire Administrator compare solo nella scheda NVD; l’advisory CISA non lo menziona. Inoltre, le soglie di versione divergono: CISA parla di versione <=2.01, NVD di versioni prima della 2.01.05. Questa differenza va tenuta presente quando si valuta l’esposizione dei propri sistemi.

Il meccanismo tecnico: CWE-316

La vulnerabilità è classificata CWE-316, “Cleartext Storage of Sensitive Information in Memory”. L’applicazione conserva in chiaro nella memoria di sistema, durante l’esecuzione, credenziali utente come password e token di autenticazione.

Chiunque abbia accesso locale al sistema può tentare l’estrazione. Bastano strumenti di memory dumping o, nel caso di insider con privilegi elevati, un accesso diretto alla memoria. Lo sfruttamento riuscito consente a un attaccante locale con privilegi bassi di ottenere potenziale accesso non autorizzato all’applicazione e ai sistemi collegati.

Gravità e impatto

Entrambi i sistemi di punteggio CVSS assegnano un punteggio base di 5.8, severità MEDIUM.

CVSS v3.1: vettore CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:L/A:L. Questo significa attacco locale, alta complessità, privilegi bassi richiesti, nessuna interazione dell’utente e impatto sulla sola componente vulnerabile. La riservatezza è compromessa in modo alto, l’integrità e la disponibilità in modo basso.

CVSS v4.0: vettore CVSS:4.0/AV:L/AC:H/AT:P/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N. Anche qui il punteggio è 5.8. Il vettore v4 non prevede impatti su componenti successive.

L’impatto concreto ricade sui sistemi che eseguono Simplex Incident Manager: un utente locale che estrae credenziali può muoversi lateralmente verso i sistemi collegati, aumentando il rischio di compromissione dell’infrastruttura di gestione incidenti.

Non è noto se la vulnerabilità sia stata inserita nel catalogo KEV della CISA. Al momento della pubblicazione non risultano sfruttamenti pubblici noti. Non sono disponibili informazioni su precedenti recenti di Johnson Controls nel KEV.

Aggiornamenti e misure di mitigazione

Johnson Controls ha rilasciato una versione corretta. Tuttavia, le indicazioni sulla versione risolutiva non sono coerenti tra le fonti.

Secondo CISA, la versione corretta è la “v2.01.01”, ma la stessa advisory raccomanda di aggiornare Simplex Incident Manager alla versione v1.01.05 o successiva. La scheda NVD indica come affette le versioni “before 2.01.05”, implicando che la 2.01.05 sia la soglia di fix.

Questa divergenza richiede attenzione: prima di applicare l’aggiornamento, è necessario verificare la Product Security Advisory JCI-PSA-2026-28 sul sito del vendor.

Oltre all’aggiornamento, Johnson Controls e CISA raccomandano misure difensive complementari:

• limitare l’accesso locale ai sistemi che eseguono Simplex Incident Manager al solo personale autorizzato;
• implementare protezione e monitoraggio degli endpoint per rilevare strumenti di memory dumping o processi sospetti;
• applicare politiche di controllo accessi rigorose e principio del privilegio minimo sugli host;
• utilizzare cifratura completa del disco e secure boot per ridurre il rischio di analisi offline della memoria;
• monitorare tentativi di accesso locale non autorizzati e attivare audit logging.

Raccomandazioni per gli operatori ICS

CISA consiglia di eseguire un’analisi di impatto e una valutazione del rischio prima di applicare le difese. Per gli ambienti ICS, l’agenzia richiama l’importanza della difesa in profondità e rimanda al documento ICS-TIP-12-146-01B per le strategie di protezione delle reti industriali.

Gli operatori dovrebbero inoltre segnalare eventuali attività sospette a CISA per il tracciamento e la correlazione. Restano valide le contromisure anti-phishing e anti-social engineering: non aprire link o allegati in email non richieste.

Il riferimento per le istruzioni dettagliate è la pagina security-advisories di Johnson Controls: https://www.johnsoncontrols.com/trust-center/cybersecurity/security-advisories, con l’advisory JCI-PSA-2026-28.