ATEN Unizon, piattaforma enterprise per la gestione remota di infrastrutture IT/OT, presenta una directory traversal nel metodo writeFileToHttpServletResponse che permette a un attaccante remoto non autenticato di leggere file arbitrari con privilegi di sistema. La vulnerabilità, tracciata come ZDI-26-380 e associata al CVE-2026-9776, è stata segnalata a Trend Micro Zero Day Initiative il 13 marzo 2026 e resa pubblica il 24 giugno 2026 con il rilascio coordinato dell'aggiornamento. Il periodo di 103 giorni tra segnalazione e patch solleva questioni concrete sulla gestione della disclosure per prodotti che amministrano accessi critici.
- La vulnerabilità risiede nella mancata validazione del path utente nel metodo
writeFileToHttpServletResponsedi ATEN Unizon, permettendo directory traversal verso file arbitrari. - L'exploitation non richiede autenticazione: chiunque possa raggiungere l'endpoint esposto può tentare la lettura di file di sistema.
- L'esecuzione avviene nel contesto SYSTEM, il che amplifica la gravità rispetto a una disclosure limitata a permessi di servizio inferiori.
- ATEN ha rilasciato un aggiornamento correttivo il 24 giugno 2026, ma la fonte non specifica quali versioni siano interessate né fornisce dettagli sul payload tecnico della traversal.
Il meccanismo: come funziona la traversal nel servlet ATEN
Il difetto è localizzato nel metodo writeFileToHttpServletResponse, una routine che gestisce il flusso di file verso la risposta HTTP. Secondo l'advisory ZDI, il problema deriva dalla "mancanza di una validazione appropriata del path fornito dall'utente prima di utilizzarlo in operazioni su file". In altri termini: il metodo accetta un parametro controllabile dall'esterno, lo interpola nel filesystem senza sufficienti controlli di canonicalizzazione, e restituisce il contenuto come risposta HTTP.
"The specific flaw exists within the writeFileToHttpServletResponse method. The issue results from the lack of proper validation of a user-supplied path prior to using it in file operations."
La directory traversal è una classe di vulnerabilità nota e documentata, ma la sua pericolosità varia drasticamente con il contesto di esecuzione. Qui il contesto è SYSTEM: il livello di privilegio più elevato nel sistema operativo Windows. Questo significa che non sono esclusi percorsi come file di configurazione del sistema, log applicativi, o eventuali file che contengano informazioni di accesso ad altri componenti dell'infrastruttura gestita. La fonte non specifica la natura esatta dei dati esposti, ma il perimetro di lettura è tecnicamente quello dell'intero filesystem accessibile al sistema operativo.
Autenticazione zero: il profilo di rischio per infrastrutture esposte
La mancanza di requisito di autenticazione trasforma questa vulnerabilità da problema di insider o account compromesso a rischio di superficie di attacco aperta. Come riporta l'advisory: "This vulnerability allows remote attackers to disclose sensitive information on affected installations of ATEN Unizon. Authentication is not required to exploit this vulnerability." Qualsiasi attore che possa instaurare connettività TCP con il servizio esposto dispone della condizione iniziale per tentare l'exploit.
ATEN Unizon è posizionato come piattaforma per la gestione remota di infrastrutture enterprise, un segmento in cui la segmentazione di rete è spesso assente o incompleta per ragioni operative. La possibilità di lettura file SYSTEM da parte di un attaccante non autenticato introduce un vettore di raccolta informazioni che può precedere o accompagnare movimenti laterali. Il dossier non documenta exploitation attiva né la disponibilità di proof-of-concept pubblici, ma la struttura della vulnerabilità non richiede interazione complessa.
I 103 giorni di disclosure coordinata: cronologia e criticità
La timeline documentata è precisa: segnalazione al vendor il 13 marzo 2026, rilascio pubblico coordinato il 24 giugno 2026. Il divario di 103 giorni rientra nella finestra standard di disclosure coordinata ZDI, che tipicamente prevede 90-120 giorni per il rilascio di patch, ma per un prodotto che amministra accessi remoti a infrastrutture critiche questo intervallo acquisisce un peso specifico.
La fonte non indica se ATEN abbia rilasciato aggiornamenti intermedi, comunicazioni di sicurezza, o mitigazioni temporanee durante questo periodo. Non emergono sovrapposizioni infrastrutturali che colleghino questa vulnerabilità ad altre advisory dello stesso vendor o ad attacchi documentati. La mancanza di versioni specifiche affette — un dato che ZDI non ha incluso nel testo estratto — complica la valutazione del perimetro di impatto per gli utenti finali.
Perché è importante
La directory traversal con esecuzione SYSTEM e assenza di autenticazione rappresenta una combinazione di fattori che espone a rischio elevato le installazioni di ATEN Unizon raggiungibili da rete. La fonte non specifica misure compensative temporanee né fornisce indicatori di compromissione per verificare se una installazione sia stata oggetto di tentativi di exploitation. Il CVE-2026-9776 è stato pubblicato ma non arricchisce il quadro tecnico oltre alla conferma dell'associazione con ZDI-26-380.
Il brief non documenta la presenza di exploit pubblico né l'esistenza di campagne di exploitation in-the-wild. Il CVSS 7.5 HIGH riportato nel record CVE.org, con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N, classifica la vulnerabilità come sfruttabile via rete con bassa complessità e senza requisiti di privilegi, ma non assegna impatto su integrità o disponibilità — coerentemente con la natura information disclosure dichiarata dalla fonte primaria.
L'assenza di dettagli sulle versioni corrette impedisce una gestione selettiva della patch. Il dossier non specifica inoltre se ATEN abbia pubblicato advisory proprio indipendente da ZDI, né se esistano configurazioni di deployment che riducano la superficie esposta. Questi limiti lasciano gli operatori di sicurezza con una raccomandazione binaria: aggiornare se possibile, verificare l'esposizione del servizio se non immediatamente aggiornabile.
La gestione remota di infrastrutture IT/OT è un settore in cui le vulnerabilità pre-autenticazione accumulano rapidamente rilevanza operativa. L'advisory ZDI-26-380 non è la prima directory traversal in questo segmento, ma la combinazione di SYSTEM context e zero-authentication la colloca in una fascia di priorità che non ammette dilazione nella verifica del proprio perimetro.
Domande frequenti
Quali versioni di ATEN Unizon sono effettivamente vulnerabili?
La fonte primaria non elenca versioni specifiche. Il record CVE-2026-9776 conferma l'esistenza della vulnerabilità senza aggiungere dettagli sul perimetro versionale. È necessario contattare direttamente ATEN o consultare l'eventuale advisory vendor per questa informazione.
Esiste un exploit pubblico o attacchi documentati?
Il dossier non riporta né proof-of-concept pubblici né exploitation in-the-wild. L'assenza di questa evidenza non esclude il rischio, data la semplicità concettuale del vettore directory traversal.
Perché il CVSS non è presente nell'advisory ZDI mentre compare nel record CVE?
Il testo estratto dell'advisory ZDI-26-380 non include CVSS score o vector. Il valore 7.5 HIGH deriva dal record CVE-2026-9776 pubblicato su cve.org, fonte separata che non ha fornito dettagli tecnici aggiuntivi sulla natura del difetto.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-380/
- https://www.cve.org/CVERecord?id=CVE-2026-9776
- http://www.zerodayinitiative.com/advisories/upcoming/
- https://www.trendmicro.com/en_us/business/products/one-platform.html