Rockwell Automation OTTO Fleet Manager: hash bcrypt deboli mettono a rischio le credenziali

Rockwell Automation ha pubblicato un aggiornamento per OTTO Fleet Manager per correggere una vulnerabilità che indebolisce la protezione delle password. La falla, identificata come CVE-2026-75112, è stata classificata come CWE-916, "Use of Password Hash With Insufficient Computational Effort". In sostanza, gli hash bcrypt usati per proteggere le credenziali sono generati con un fattore di lavoro troppo basso. Un attaccante che riesca a ottenere un backup di sistema non cifrato può così condurre attacchi brute-force offline con un costo computazionale ridotto.

La vulnerabilità è stata segnalata da Rockwell Automation alla CISA e ripubblicata il 27 agosto 2026 nell'advisory Rockwell Automation SD1791. Al momento non risultano attività di sfruttamento pubblico mirate. La gravità è media: punteggio base 6,8 secondo CVSS v3.1 e 6,9 secondo CVSS v4.0.

Una protezione delle password meno robusta del previsto

Il cuore del problema sta nell'implementazione dell'algoritmo bcrypt. Bcrypt è un algoritmo di hashing progettato per essere lento e costoso da calcolare, proprio per scoraggiare tentativi di indovinare le password. Il suo costo computazionale dipende da un parametro che definisce il numero di iterazioni. Se questo parametro, chiamato fattore di lavoro, è impostato troppo basso, gli hash possono essere verificati molto più rapidamente del previsto.

In OTTO Fleet Manager, il fattore di lavoro insufficiente consente a un attaccante di ridurre il tempo necessario per provare milioni di combinazioni di password. Non è una vulnerabilità che permette di bypassare l'autenticazione o di eseguire codice arbitrario. Piuttosto, rende meno robusta la protezione delle password archiviate, facilitando il recupero delle credenziali in chiaro. La classificazione CWE-916 evidenzia proprio questa debolezza: l'uso di un hash di password con sforzo computazionale insufficiente.

La catena di attacco: accesso locale e backup non cifrati

Lo sfruttamento della vulnerabilità non è possibile da remoto. Secondo il vettore CVSS v3.1, l'attacco richiede accesso da rete adiacente, privilegi bassi e nessuna interazione dell'utente. In pratica, l'aggressore deve già trovarsi nella rete locale dell'organizzazione o avere accesso a un dispositivo adiacente. I privilegi bassi significano che un utente con credenziali limitate può tentare l'attacco.

Il punto critico è rappresentato dai backup di sistema. Se un backup non cifrato di OTTO Fleet Manager viene compromesso, un attaccante può estrarre gli hash delle password in esso contenuti. Con la protezione indebolita, l'attaccante può lanciare un attacco brute-force offline per recuperare le password. Il rischio concreto è la compromissione delle credenziali e il conseguente accesso non autorizzato al sistema di gestione della flotta. La condizione di backup non cifrato è un elemento chiave: senza di esso, l'attacco non ha materiale su cui lavorare.

Versioni interessate e impatto sui settori critici

Tutte le versioni di Rockwell Automation OTTO Fleet Manager fino alla V2.36.2 inclusa sono affette. La versione corretta è la 2.36.3, disponibile tramite il portale di file sharing di OTTO Motors al link file-share.ottomotors.com/login.

La vulnerabilità interessa principalmente i settori della manifattura critica e dei sistemi di trasporto, con distribuzione mondiale. Secondo il vettore CVSS v3.1 (CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N), l'impatto è elevato sulla riservatezza (C:H), mentre integrità e disponibilità non sono compromesse. Il cambio di scope (S:C) indica che l'effetto può estendersi oltre il componente vulnerabile. Il vettore CVSS v4.0 (CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N) conferma riservatezza elevata sul sistema vulnerabile e nessun impatto sui sistemi successivi.

Le contromisure: aggiornare o cifrare i backup

La mitigazione principale è aggiornare a OTTO Fleet Manager 2.36.3. Per chi non può applicare subito la patch, Rockwell Automation raccomanda di seguire le best practice di sicurezza disponibili al link support.rockwellautomation.com e di abilitare il backup di sistema cifrato, come descritto nell'advisory Rockwell Automation SD1791.

La CISA raccomanda in particolare di:

• Minimizzare l'esposizione di rete per tutti i sistemi di controllo.
• Non esporre i sistemi di controllo direttamente a Internet.
• Collocare reti ICS e dispositivi remoti dietro firewall.
• Isolare le reti di controllo dalle reti business.
• Usare VPN aggiornate per l'accesso remoto.

Prima di applicare contromisure, è consigliata un'analisi dell'impatto e del rischio. Queste raccomandazioni sono standard per gli ambienti industriali e riducono la superficie di attacco complessiva.

Nessuna evidenza di sfruttamento attivo

Al momento non sono stati segnalati sfruttamenti pubblici specificamente mirati a CVE-2026-75112. La mancanza di exploit in circolazione riduce il rischio immediato, ma non elimina la necessità di intervenire. I sistemi che utilizzano backup non cifrati sono esposti a un rischio concreto, soprattutto in ambienti industriali dove la segmentazione di rete potrebbe non essere perfetta.

Per supporto, Rockwell Automation mette a disposizione OTTO Care (ottomotors.com/otto-care) e il PSIRT aziendale all'indirizzo [email protected].