Dante היא התקינה שמעבירה אודיו מקצועי על גבי רשת מחשבים, והיא יושבת בחדרי ישיבות, באולמות ובאולפנים. ברכיב שלה בשם Dante Application Library, בגרסאות 1.2.0 ומטה, יש חולשה שמאפשרת לקוד זר להיטען דרך קובץ הרצה לגיטימי של המערכת. הציון הוא 7.8 מתוך 10, ומפברואר 2025 החולשה רשומה כמנוצלת בפועל.
מה החולשה?
תוכנה בחלונות אינה מכילה את כל הקוד שלה בקובץ אחד. היא נשענת על ספריות חיצוניות, קבצי DLL, שהיא טוענת כשהיא עולה. השאלה היא איך היא אומרת למערכת איזו ספרייה לטעון. אם היא נוקבת בנתיב מלא ומדויק, אין ספק. אם היא נוקבת רק בשם, חלונות מחפשת את הקובץ בשורת מקומות לפי סדר קבוע.
הפער הזה הוא החולשה. לפי הרשומה, קובץ ההרצה mDNSResponder.exe אינו מגדיר כראוי מאיפה ובאיזה תנאים לטעון את הספרייה. מי שמצליח להניח קובץ בשם המתאים במקום שנבדק מוקדם יותר בסדר החיפוש, מקבל את הקוד שלו טעון אל תוך התהליך. לטכניקה הזאת קוראים DLL Sideloading, והרשומה מסמנת אותה כ-CWE-114.
ומה שהופך את זה למשתלם עבור תוקף הוא לא עצם ההרצה אלא מי מריץ. הקוד אינו רץ בתהליך חשוד שלו, אלא בתוך קובץ הרצה לגיטימי של יצרן מוכר. הוא יורש את השם הזה ואת האמון שנלווה אליו, וזה בדיוק מה שמקשה על זיהוי.
הדירוג מתאר תקיפה מקומית, כלומר התוקף צריך כבר דריסת רגל על המכונה כדי להניח את הקובץ, ודורש גם פעולה של משתמש. הפגיעה גבוהה בשלושת הצירים. ה-mDNSResponder עצמו הוא הרכיב שמאתר מכשירים ברשת המקומית, וזה בדיוק מה ש-Dante צריכה כדי למצוא את ציוד האודיו.
מי מושפע?
הרשומה מונה את Dante Application Library בגרסאות 1.2.0 ומטה. השם מעיד על האופי: זו ספרייה שתוכנות אחרות נשענות עליה, ולא יישום שמישהו פותח בבוקר, ולכן היא מגיעה בדרך כלל בתוך תוכנה של יצרן ציוד אודיו.
נהיה כאן ישרים לגבי ההיקף. זו אינה חולשה שנוגעת לציבור הרחב, והיא לא תימצא במחשב ביתי טיפוסי. בישראל היא רלוונטית למי שמתחזק מערכות אודיו מקצועיות: אינטגרטורים של חדרי ישיבות ואולמות, אולפני שידור והקלטה, ומחלקות AV בארגונים גדולים. אם אין לכם ציוד Dante, אין לכם כאן מה לעשות.
האם מנוצלת בפועל?
כן. ב-6 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 27 בפברואר 2025 לרשויות הפדרליות בארצות הברית.
החולשה פורסמה בנובמבר 2022, והמחקר שהרשומה מקשרת אליו הוא של צוות המחקר של צ'ק פוינט, כלומר מחקר ישראלי. הקטלוג אינו מפרט מי ניצל את החולשה.
מה עושים?
ראשית, בררו אם הרכיב בכלל נמצא אצלכם ובאיזו גרסה. הטווח שהרשומה מונה הוא 1.2.0 ומטה, ומכיוון שזו ספרייה, הגרסה נקבעת לרוב על ידי התוכנה שמגיעה איתה. אם מדובר בתוכנה של יצרן ציוד, שם צריך לבדוק אם יצאה גרסה מעודכנת.
התגובה של היצרן לחולשה מתפרסמת בדף ההסבר של Audinate, וזה המקום לקחת ממנו את גרסת היעד ואת ההנחיה המעודכנת.
שנית, וזה הצעד שעובד גם בלי עדכון: החולשה עובדת רק אם מישהו מצליח להניח קובץ בתיקייה שממנה קובץ ההרצה נטען. לכן עברו על ההרשאות של התיקייה שבה הרכיב מותקן, וּודאו שמשתמש רגיל אינו יכול לכתוב לתוכה. תיקיית התקנה שמשתמשים יכולים לכתוב בה היא מה שהופך את הטכניקה הזאת מתיאורטית למעשית.
ולבסוף, שווה לזכור היכן הציוד הזה יושב. מערכות אודיו מקצועיות מחוברות לרשת, ולעיתים לאותה רשת של עמדות העבודה. הפרדה של רשת האודיו מרשת המשרד מצמצמת את מי שיכול להגיע למכונות האלה מלכתחילה.