Una ricerca di sicurezza condotta sul software Remote Desktop Manager (RDM) di Devolutions ha evidenziato una debolezza nel percorso di fallback del sistema di aggiornamento automatico. In particolari condizioni, il software poteva eseguire un file presente nella cartella di staging basandosi esclusivamente sul nome previsto dell'installer, senza verificarne firma digitale o integrità. La problematica è stata segnalata tramite il programma di bug bounty dell'azienda e successivamente corretta nella release 2026.3.15.0.
In breve
- La debolezza riguardava il percorso di fallback del sistema di aggiornamento di RDM.
- Un file con il nome atteso dell'installer poteva essere eseguito senza verifica della firma digitale.
- Era necessario che un processo fosse già in esecuzione con i privilegi dell'utente locale.
- Devolutions ha corretto il comportamento nella versione 2026.3.15.0 introducendo la verifica della firma digitale anche nel percorso di fallback.
Perché il caso è interessante
Remote Desktop Manager è uno strumento molto diffuso tra amministratori di sistema e team IT per la gestione centralizzata di connessioni remote, credenziali e accessi privilegiati.
Proprio per il livello di fiducia associato al software, eventuali problemi nel sistema di aggiornamento meritano particolare attenzione. I meccanismi di update rappresentano infatti una componente critica della sicurezza applicativa perché operano spesso in contesti privilegiati e vengono normalmente considerati affidabili dagli utenti e dagli strumenti di difesa.
Il problema individuato
L'analisi ha evidenziato una differenza tra il flusso principale di aggiornamento e un percorso alternativo utilizzato in caso di errore.
Nel percorso standard, il componente dedicato agli aggiornamenti verificava la validità del pacchetto scaricato prima dell'esecuzione.
Nel percorso di fallback, invece, il software poteva tentare l'esecuzione dell'installer presente nella cartella temporanea basandosi sul nome del file previsto, senza effettuare gli stessi controlli di autenticità.
Secondo la ricerca, un malware già presente sul sistema con privilegi utente avrebbe potuto sfruttare questo comportamento per sostituire il file atteso e tentare l'esecuzione di codice arbitrario durante un normale ciclo di aggiornamento.
Impatto reale e limiti dello scenario
È importante evidenziare che non si trattava di una vulnerabilità sfruttabile da remoto.
Per poter costruire la catena d'attacco era necessario che un software malevolo fosse già in esecuzione sul dispositivo con i privilegi dell'utente locale. Inoltre, l'eventuale elevazione dei privilegi sarebbe dipesa dall'approvazione di un prompt UAC da parte dell'utente.
Devolutions ha infatti classificato il problema come un intervento di hardening della sicurezza e non come una vera e propria privilege escalation, ritenendo che il componente vulnerabile non concedesse privilegi aggiuntivi senza l'interazione dell'utente.
La correzione
La versione 2026.3.15.0, pubblicata il 15 ottobre 2026, ha introdotto un controllo aggiuntivo che verifica la firma digitale Devolutions dell'installer prima dell'avvio del processo di aggiornamento.
Le note di rilascio riportano esplicitamente il miglioramento:
"Improved update security by verifying the Devolutions signature of the downloaded installer before launching it."
Secondo le verifiche descritte nella ricerca, il controllo risulta ora applicato anche al percorso di fallback originariamente interessato dal problema.
Le lezioni per gli sviluppatori
Il caso offre alcune indicazioni utili per chi sviluppa software:
- verificare sempre firma e integrità dei file prima dell'esecuzione;
- applicare gli stessi controlli sia al percorso principale sia ai meccanismi di fallback;
- considerare le cartelle temporanee come aree potenzialmente manipolabili;
- evitare che il nome del file sia l'unico elemento di fiducia utilizzato durante un aggiornamento.
Cosa significa per la vostra azienda
Le organizzazioni che utilizzano software di amministrazione privilegiata dovrebbero:
- mantenere aggiornati gli strumenti utilizzati dai team IT;
- verificare regolarmente le procedure di aggiornamento;
- monitorare modifiche anomale nelle directory temporanee;
- prestare attenzione a richieste UAC inattese anche durante aggiornamenti apparentemente legittimi;
- adottare principi di difesa in profondità per i sistemi amministrativi.
Chiusura
Questo caso dimostra come anche componenti considerati secondari, come i percorsi di fallback di un aggiornamento software, possano diventare punti di attenzione per la sicurezza. La disclosure responsabile e la successiva correzione confermano l'importanza dei programmi di bug bounty e della collaborazione tra ricercatori e vendor nel miglioramento continuo della sicurezza applicativa.
Fonti
- Il trucco del falso installer: così poteva essere aggirato l'aggiornamento di RDM
- Remote Desktop Manager Windows Version 2026.3.15.0
- Release Notes - Remote Desktop Manager