Falla API in un contractor del Dipartimento della Difesa espone dati militari e record di personale

Un contractor del Dipartimento della Difesa statunitense ha esposto dati sensibili di militari e materiali di formazione attraverso endpoint API non protetti da controlli di autorizzazione adeguati. La vulnerabilità, scoperta dal progetto Strix, un sistema di test di sicurezza open-source automatizzato, ha interessato Schemata, una piattaforma di formazione virtuale basata su AI utilizzata in ambito militare e della difesa.

Dati esposti: corsi riservati e informazioni personali

Secondo Strix, un account a basso privilegio è riuscito ad accedere a dati appartenenti a più organizzazioni, inclusi:

• Elenchi utenti e record organizzativi
• Informazioni sui corsi di formazione e metadati
• Link diretti a documenti ospitati su istanze Amazon Web Services di Schemata

Tra i materiali esposti figuravano:

• Un corso di formazione virtuale 3D per il personale di manutenzione navale, con documentazione classificata come confidenziale e proprietaria
• Un corso contenente manuali dell'Esercito statunitense su manipolazione di ordigni esplosivi e dispiegamento tattico
• Centinaia di record utente collegati a basi militari e iscrizioni a corsi

Le informazioni includevano anche nomi, indirizzi email, dettagli di iscrizione e le basi militari dove erano stanziati i membri del personale statunitense.

Risposta tardiva e vulnerabilità non sfruttata

Schemata ha riconosciuto che gli endpoint vulnerabili sono stati esposti a partire dal 1° maggio, dopo un processo di disclosure durato 150 giorni. Strix ha dichiarato di aver verificato la risoluzione del problema prima della pubblicazione del report, avvenuta 152 giorni dopo il primo tentativo di segnalazione.

La vulnerabilità non richiedeva exploit complessi: Strix ha utilizzato un account a basso privilegio per monitorare il traffico del browser, identificare gli endpoint API esposti e richiedere dati ad alto valore utilizzando la stessa sessione. Le richieste hanno restituito record esterni all'organizzazione dell'account, suggerendo che l'API non applicava correttamente i confini tra tenant o i permessi utente.

Inoltre, alcune rotte risultavano abilitate alle scritture, il che avrebbe permesso a un attore malintenzionato di modificare o eliminare corsi tramite richieste di aggiornamento o cancellazione. Tuttavia, Strix non ha eseguito test distruttivi.

Rischi per la sicurezza operativa

Anche quando le informazioni non sono classificate, i dati su basi militari, iscrizioni a corsi e materiali accessibili possono rivelare contesti operativi sensibili se esposti al di fuori dei canali autorizzati. In una dichiarazione pubblicata sul sito web, Schemata ha affermato di non avere prove che terze parti abbiano sfruttato la vulnerabilità per accedere ai dati dei clienti.

Disclosure problematica e domande sulla gestione dei dati governativi

Il caso solleva interrogativi su come le aziende che gestiscono dati sensibili per il governo gestiscano le segnalazioni di vulnerabilità. Secondo Strix, il primo contatto con Schemata è avvenuto il 2 dicembre 2025. Il CEO dell'azienda avrebbe inizialmente risposto:

«Mi piacerebbe sapere qual è la vulnerabilità, ma presumo che vogliate essere pagati per questo. È questa la strategia?»

Strix ha chiarito lo stesso giorno che non era richiesta alcuna compensazione e che l'obiettivo era la sicurezza degli utenti. L'organizzazione ha inviato più follow-up tra l'8 e il 29 dicembre, avvertendo del rischio, ma senza ricevere una risposta tempestiva.