USAHERDS היא מערכת לניהול מידע על בריאות בעלי חיים, שמשמשת רשויות חקלאיות בארצות הברית. לפי הרשומה, בגרסאות עד 7.4.0.1 ועד בכלל מוטמעים בתוכנה פרטי אימות קבועים. הציון הוא 8.1 מתוך 10, והחולשה רשומה כמנוצלת בפועל מדצמבר 2024.

מה החולשה?

פרטי אימות קבועים בקוד הם סיסמה, מפתח או token שהיצרן כתב בתוך התוכנה עצמה ולא יצר מחדש לכל התקנה. הם אינם מופיעים בממשק, מי שמנהל את המערכת לרוב אינו יודע שהם קיימים, ואין מסך שבו אפשר להחליף אותם. הרשומה מסמנת את זה כ-CWE-798.

מה שהופך את הסוג הזה לחמור אינו הקושי למצוא אותם אלא מה קורה אחרי שמצאו. פרט אימות שנכתב בקוד זהה בכל ההתקנות של אותה גרסה. ברגע שמישהו אחד חילץ אותו, הוא מחזיק מפתח שעובד מול כל ארגון שמריץ את התוכנה, ולא רק מול זה שממנו חילץ אותו. החלפת סיסמה בצד של הארגון אינה עוזרת כאן, מפני שזו אינה הסיסמה שהתוקף משתמש בה.

הדירוג מסמן גישה מהרשת, בלי הרשאות נדרשות ובלי פעולה של המשתמש, עם פגיעה גבוהה בסודיות, בשלמות ובזמינות, אבל גם מורכבות ניצול גבוהה. מכאן 8.1 ולא יותר.

הרשומה עצמה קצרה מאוד ואינה מתארת לאיזה רכיב פרטי האימות נותנים גישה. הפרסום של Mandiant הוא המקור שהרשומה מפנה אליו לפרטים.

מי מושפע?

הרשומה מונה את USAHERDS בכל הגרסאות עד 7.4.0.1 ועד בכלל.

ובישראל? כמעט בוודאות לא. USAHERDS נמכרת לרשויות מדינה בארצות הברית לניהול מידע וטרינרי, ואין סיבה מעשית שתימצא בארגון ישראלי. אנחנו מתעדים אותה מפני שהיא נמצאת ברשימת החולשות המנוצלות בפועל, ומי שמחפש את המספר הזה בעברית צריך לקבל תשובה ישירה ולא עמוד שמנסה למכור לו דחיפות שאינה קיימת אצלו.

מה שכן רלוונטי כאן לקורא הישראלי הוא הסוג, לא המוצר. פרטי אימות קבועים בקוד מופיעים בכל מיני ציוד ותוכנה, ובמיוחד במוצרים שמותקנים פעם אחת ונשארים במקומם שנים.

האם מנוצלת בפועל?

כן. ב-23 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 13 בינואר 2025 לרשויות הפדרליות בארצות הברית.

הפער בתאריכים כאן גדול במיוחד. הרשומה פורסמה בדצמבר 2021, והכניסה לקטלוג הגיעה שלוש שנים אחר כך.

מה עושים?

אם אתם מריצים USAHERDS, עדכנו לגרסה מעל 7.4.0.1. הרשומה מפנה לאתר של Acclaim Systems כמקור היצרן, ואת הפרטים הטכניים על החולשה פרסם Mandiant.

וכדאי להבין מה עדכון כזה עושה ומה אינו עושה. הוא מחליף את פרטי האימות שהיו בקוד, אבל אינו מבטל גישה שמישהו כבר השיג. אם המערכת הייתה חשופה לאינטרנט בשנים האלה, הנחת העבודה צריכה להיות שצריך גם לבדוק מה נעשה בה, לא רק לעדכן.

ולכל השאר, אלה שאינם מריצים את המוצר הזה: הלקח המעשי הוא לשאול לגבי הציוד והתוכנה שאתם כן מריצים אם יש בהם חשבון שלא אתם יצרתם. במצלמות, בנתבים ובמערכות ניהול זה קיים, ולרוב מתגלה רק כשיוצאת התראה כזאת.