שרת גיבוי הוא מהמקומות הרגישים ברשת, מפני שכדי לגבות הכול הוא צריך פרטי גישה אל הכול. חולשה ב-Veeam Backup & Replication מאפשרת לשלוף מהמסד שלו את פרטי האימות השמורים, בלי להזדהות קודם. הציון הוא 7.5, והחולשה רשומה כמנוצלת בפועל מאז אוגוסט 2023.

מה החולשה?

Veeam Backup & Replication שומר במסד הנתונים שלו את פרטי הגישה לכל מה שהוא מגבה: שרתים, מכונות וירטואליות, אחסון. הפרטים האלה שמורים שם מוצפנים.

החולשה אינה בהצפנה. היא בכך שאחד הרכיבים של המוצר מאפשר לבקש את הפרטים האלה בלי לבדוק מי מבקש. לפי הסיווג, CWE-306, מדובר בהיעדר הזדהות בפונקציה קריטית: הפעולה עצמה לגיטימית, רק שאיש אינו נשאל בדרך אליה אם מותר לו.

לפי וקטור ה-CVSS התקיפה מגיעה דרך הרשת, אינה דורשת הרשאות כלשהן ואינה דורשת פעולה של משתמש. הפגיעה מדורגת גבוהה בסודיות ואפסית בשלמות ובזמינות, כלומר התוקף קורא ואינו משנה דבר.

מה שהופך את זה לחמור יותר ממה שהציון מרמז הוא מה שנמצא בצד השני. הרשומה אומרת שהמידע הזה עלול להוביל לגישה אל שרתי תשתית הגיבוי. מי שמחזיק בפרטי הגישה של מערכת הגיבוי מחזיק מפתח גם למה שהיא מגבה.

מי מושפע?

גרסאות Veeam Backup & Replication שקודמות ל-11.0.1.1261, וכן הגרסאות 11.0.1.1261 ו-12.0.0.1420 עצמן, לפי רשימת הגרסאות שברשומה.

בישראל Veeam הוא מהשמות המרכזיים בגיבוי ארגוני ונמצא בשימוש רחב בחברות בינוניות, בארגוני בריאות וברשויות. זו אינה תוכנה שמשתמש ביתי פוגש.

יש כאן נקודה ששווה לעצור עליה. שרת גיבוי נתפס לעיתים כמערכת פנימית שאין דחיפות להקשיח, דווקא מפני שהוא אינו מול הלקוחות. בפועל הוא מהיעדים המועדפים בתקיפות כופר, כי פגיעה בו היא מה שמונע התאוששות.

האם מנוצלת בפועל?

כן. ב-22 באוגוסט 2023 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בשטח. תאריך היעד שנקבע לגופים הפדרליים בארצות הברית היה 12 בספטמבר 2023.

החולשה פורסמה במרץ 2023, והרישום הגיע כחמישה חודשים אחריו. הרשומה בקטלוג אינה מפרטת מי מנצל אותה.

יש כאן עוד דבר ששווה לומר. חולשה שמדליפה פרטי אימות אינה משאירה שינוי במערכת, ולכן ניצול שלה יכול לעבור בלי להיראות. ארגון שהריץ גרסה פגיעה לאורך זמן אינו יכול להניח שלא נגעו בו רק מפני שלא קרה כלום.

מה עושים?

עדכנו את Veeam Backup & Replication לגרסה מתוקנת לפי ההודעה של Veeam. שימו לב שגם 11.0.1.1261 וגם 12.0.0.1420 מופיעות ברשימת הגרסאות המושפעות, כלומר עצם המעבר לענף 12 אינו מספיק בפני עצמו.

החליפו את פרטי האימות ששמורים בשרת הגיבוי. אם גרסה פגיעה רצה אצלכם ברשת, ההנחה הזהירה היא שהפרטים האלה כבר אינם סוד, והעדכון לבדו אינו מבטל את מה שאולי כבר דלף.

צמצמו את מי שיכול להגיע אל שרת הגיבוי ברשת. הניצול מגיע דרך הרשת ואינו דורש הזדהות, ולכן כל מגבלה על הגישה אליו היא מגבלה ישירה על התוקף.

בדקו בחשבונות שהגיבוי משתמש בהם אם ההרשאות שלהם רחבות מהנדרש. חשבון גיבוי עם הרשאות מנהל על כל השרתים הופך דליפה אחת להשתלטות רחבה.