ServiceNow espande l’esposizione con quattro flaw critiche
Il 27 agosto ServiceNow ha corretto quattro vulnerabilità nella AI platform e nel Now Platform: tre flaw critiche da CVSS 10,0 e una sandbox escape ad alto impatto. Per chi usa queste piattaforme come strato vicino ai dati operativi, il punto non è solo il bug singolo, ma la possibilità di alterare record, privilegiare accessi e arrivare al database sottostante senza autenticazione.
Le falle consentono a una richiesta costruita ad arte di passare come azione interna legittima. Da lì il software può eseguire codice, creare o modificare dati e innalzare i privilegi; una delle quattro permette anche SQL arbitrario contro il database di ServiceNow. In pratica, un attacco web contro un modulo “di piattaforma” può toccare dati e controlli che spesso stanno accanto a HR, vendor e finance.
ServiceNow ha già aggiornato le istanze ospitate e ha pubblicato hotfix per le versioni self-hosted Xanadu, Yokohama, Zurich e Australia. Per gli ambienti gestiti in casa, la superficie resta aperta finché la patch non è applicata localmente; e questa serie di bug mostra che l’AI layer amplia il rischio oltre i componenti tradizionali del Now Platform.