בקונסולת הניהול של PRTG Network Monitor יש חולשה שמאפשרת למי שנכנס אליה בהרשאות מנהל להריץ פקודות מערכת הפעלה, ולא רק על שרת הניטור עצמו אלא גם על הציוד שהוא מנטר. הציון הוא 7.2 מתוך 10, נמוך יותר מפני שנדרש חשבון מנהל, ומפברואר 2025 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

מערכת ניטור עובדת עם שני מושגים מרכזיים. חיישן, sensor, הוא בדיקה אחת שהמערכת מריצה שוב ושוב, והתראה, notification, היא מה שהיא עושה כשבדיקה נכשלת. את שניהם מגדיר המנהל דרך הקונסולה, ובהגדרה הזאת הוא ממילא מזין פרמטרים.

כאן מתחילה החולשה. לפי הרשומה, פרמטרים פגומים שמוזנים בתרחישי ניהול של חיישנים או של התראות מגיעים אל שורת פקודה בלי שנוטרלו קודם. תו שיש לו משמעות מיוחדת במעטפת, מתורגמן הפקודות של המערכת, מסיים את הפקודה המקורית ומתחיל חדשה. כך הופכת הגדרה שגרתית לפקודה שהמנהל בחר להריץ. הרשומה מסמנת את זה כ-CWE-78.

הפרט שמרחיב את זה מעבר לשרת אחד מופיע ברשומה במפורש: ההרצה אפשרית גם על השרת וגם על הציוד. זה הגיוני במוצר מהסוג הזה, כי מערכת ניטור מחזיקה ממילא פרטי גישה אל הציוד שהיא בודקת ויכולה להריץ עליו בדיקות. מה שהחולשה עושה הוא להפוך את היכולת הזאת לכלי בידי מי שהשיג את הקונסולה.

ושווה לומר במדויק מה החולשה הזאת אינה. היא אינה דרך להיכנס. הדירוג קובע שנדרשות הרשאות ניהול בקונסולה, כלומר התוקף כבר בפנים. מה שהיא מוסיפה הוא המעבר מהרשאות מנהל בכלי הניטור אל הרצת פקודות על מה שהכלי מנטר, וזו הסלמה ממשית.

מי מושפע?

כאן הרשומה דורשת קריאה זהירה, כי היא מונה שני טווחים ולא אחד. הראשון הוא כל מה שקודם ל-18.2.39. השני מתחיל מעל 19.3.52 ונגמר מתחת ל-21.2.68.

המשמעות המעשית חשובה: להיות מעל 18.2.39 אינו מספיק כדי להיות מחוץ לחשיפה, כי לפי אותה רשומה הבעיה מופיעה שוב בטווח מאוחר יותר. מי שעדכן פעם אחת בשנת 2018 וראה שהגרסה שלו גבוהה מהמספר הראשון עלול להיות בתוך הטווח השני.

הקהל הוא צוותי IT וספקי IT מנוהל שמריצים PRTG, ולא משתמשי קצה. בישראל זה נוגע לארגונים שהניטור שלהם בנוי על הכלי הזה.

האם מנוצלת בפועל?

כן. ב-4 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 25 בפברואר 2025 לרשויות הפדרליות בארצות הברית.

הרשומה פורסמה ביולי 2018, והיא מקשרת לקוד ניצול פומבי: רשומה ב-Exploit-DB ושני פרסומים ב-Packet Storm, האחד מתקופת הפרסום והשני מאוחר יותר. כלומר מי שהשיג חשבון מנהל אינו צריך לפתח דבר.

מה עושים?

עדכנו ל-21.2.68 ומעלה. שימו לב שזה היעד ולא 18.2.39, כי כאמור הרשומה מונה שני טווחים, והגרסה שמוציאה אתכם משניהם היא זו שמעל הטווח השני.

במקביל, הצעד שמתאים לאופי החולשה הוא לצמצם את מי שיכול להגיע לקונסולת הניהול בהרשאות מנהל. החולשה דורשת את ההרשאות האלה, ולכן כל חשבון מנהל מיותר הוא חשיפה מיותרת. עברו על רשימת המנהלים והשאירו בה את מי שבאמת צריך.

ואם אתם מריצים גרסה שבתוך אחד הטווחים, עברו על ההגדרות שבהן החולשה יושבת: הגדרות החיישנים וההתראות. חפשו חיישן או התראה שאף אחד אצלכם לא הגדיר, או שההגדרה שלו מכילה פרמטרים שנראים חורגים מהצפוי. זה המקום שבו פקודה שהושתלה הייתה נשארת, והיא גם הייתה ממשיכה לרוץ בכל פעם שהבדיקה מתבצעת.

ולבסוף, מכיוון שהרשומה מציינת הרצה גם על הציוד המנוטר: אם מצאתם סימן לניצול, אל תסתכלו רק בשרת הניטור. פרטי הגישה ששמורים בו אל שאר הציוד הם הדבר הבא שצריך להחליף.