PRTG Network Monitor היא מערכת ניטור רשת, זו שמציגה לצוות ה-IT אם השרתים והנתבים למעלה. בגרסאות שקודמות ל-18.2.40.1683 אפשר היה, בבקשת HTTP מתוכננת ובלי שום הזדהות, ליצור בה משתמש עם הרשאות קריאה וכתיבה, כולל משתמש מנהל. הציון הוא 9.8 מתוך 10, ומפברואר 2025 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

בכל מערכת ווב יש עמוד אחד שחייב להיות נגיש בלי התחברות, והוא עמוד ההתחברות עצמו. כאן הוא יושב בנתיב /public/login.htm, ודרכו עברה כל החולשה.

העמוד הזה משתמש בהוראה שמביאה קובץ אחר ומשלבת את תוכנו בתוך העמוד המוצג. ההוראה הזאת אמורה להצביע על מה שמפתחי המערכת קבעו, אבל לפי הרשומה אפשר היה לדרוס את המאפיינים שלה מתוך הבקשה עצמה. כלומר מי ששלח את הבקשה קבע איזה קובץ פנימי ייטען. לדפוס הזה קוראים Local File Inclusion, הכללה של קובץ מקומי.

ומכאן השלב שהופך את זה מחשיפת מידע להשתלטות. הקובץ שהתוקף הפנה אליו אינו קובץ תצוגה אלא /api/addusers, כלומר הפעולה שמוסיפה משתמשים, והיא לא רק נטענה אלא גם הורצה. בצירוף שני הערכים id ו-users התוצאה היא משתמש חדש במערכת, עם הרשאות קריאה וכתיבה, שהתוקף יצר לעצמו.

שווה לשים לב שהרשומה אינה משייכת לחולשה הזאת מספר CWE. היא מתארת את המנגנון במילים אבל אינה מסווגת אותו, וזה קורה בעיקר ברשומות ותיקות.

הדירוג מתאר תקיפה מהרשת, במורכבות נמוכה, בלי פרטי אימות ובלי פעולה של אף אחד, עם פגיעה גבוהה בשלושת הצירים. לחולשה שיוצרת לתוקף חשבון מנהל זה מתאים.

מי מושפע?

הרשומה מונה את PRTG Network Monitor בכל הגרסאות שקודמות ל-18.2.40.1683, וזו גם הגרסה שסוגרת את החולשה.

זו מערכת של צוותי IT, ולכן לגולש הפרטי אין כאן דבר. בישראל היא נוגעת לארגונים ולספקי IT מנוהל שמנטרים בה רשתות, וגם לארגונים בינוניים שהתקינו אותה פעם ומאז היא פשוט רצה.

וכאן שווה לעצור על מה שמערכת ניטור מחזיקה. כדי לנטר ציוד היא צריכה להגיע אליו, ולכן בתוכה שמורים פרטי גישה אל השרתים, אל הנתבים ואל שאר הציוד שהיא בודקת. יש בה גם מפה מעודכנת של כל מה שקיים ברשת. חשבון מנהל במערכת כזאת שווה יותר מחשבון מנהל במערכת בודדת.

האם מנוצלת בפועל?

כן. ב-4 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 25 בפברואר 2025 לרשויות הפדרליות בארצות הברית.

הרשומה פורסמה בנובמבר 2018, כלומר יותר משש שנים לפני הכניסה לקטלוג. הניתוח שהרשומה מקשרת אליו הוא של חוקרי Positive Technologies. מי ניצל את החולשה ובאיזה הקשר אינו מפורט בקטלוג.

מה עושים?

עדכנו ל-18.2.40.1683 ומעלה. זו הגרסה שהרשומה מציינת כסוגרת, וכל מה שמתחתיה בטווח.

ואז הבדיקה שמתאימה דווקא לחולשה הזאת, כי היא נובעת ישר ממה שהחולשה עושה: עברו על רשימת המשתמשים במערכת וחפשו חשבון שאף אחד אצלכם לא יצר. החולשה אינה מדליפה מידע ואינה מפילה את השירות, היא מוסיפה משתמש, ולכן רשימת המשתמשים היא המקום שבו נשאר הסימן. שימו לב במיוחד לחשבונות עם הרשאות קריאה וכתיבה ולחשבונות מנהל.

אם מצאתם חשבון כזה, או אם המערכת הייתה חשופה לאינטרנט בגרסה פגיעה, התייחסו לפרטי הגישה ששמורים בתוכה כאל פרטים שדלפו. זה אומר להחליף את סיסמאות הגישה לציוד שהמערכת מנטרת, ולא רק את הסיסמאות של PRTG עצמה.

ובלי קשר לגרסה, בדקו מי יכול להגיע לממשק הווב של המערכת. ממשק ניטור אינו צריך להיות נגיש מהאינטרנט הרחב, והגבלת הגישה אליו לרשת הפנימית או דרך VPN מצמצמת את החשיפה גם לחולשות הבאות.