שער SSL VPN של Array Networks מסדרת AG, וכן הגרסה הווירטואלית vxAG, אפשר למי שפנה אליו מהרשת בלי שום הזדהות לעבור על מערכת הקבצים שלו. לפי הרשומה זה נעשה באמצעות מאפיין flags בכותרת HTTP, ומשם היה אפשר להמשיך ולהריץ קוד דרך כתובת URL פגיעה. הציון הוא 9.8 מתוך 10, והחולשה נכנסה לרשימת החולשות המנוצלות בפועל בנובמבר 2024, יותר מעשרים חודשים אחרי שפורסמה.

מה החולשה?

שער SSL VPN הוא הדלת שדרכה עובדים מתחברים מרחוק אל הרשת הפנימית של הארגון. מעצם תפקידו הוא חייב לענות לאינטרנט, ולכן כל ההיגיון שלו מתחיל בשאלה אחת: מי אתה. רק אחרי שהשער קבע מי פנה אליו, הוא מחליט מה מותר לו.

כאן השאלה הזאת פשוט לא נשאלה במסלול מסוים. פנייה שנשאה מאפיין מסוים בכותרת HTTP, כלומר בשורות המידע הנלוות שכל בקשת web שולחת לפני התוכן עצמו, קיבלה גישה למערכת הקבצים של השער בלי שהשער בירר מי שולח אותה. ברשומה זה מסומן CWE-287, אימות לקוי.

הרשומה מוסיפה שלב שני: אחרי שאפשר לעבור על הקבצים, אפשר להמשיך ולהריץ קוד דרך כתובת URL פגיעה. את אופן הפעולה המדויק של השלב הזה הרשומה אינה מפרטת, ולכן גם כאן זה נשאר ברמת הפירוט הזאת.

הציון 9.8 נובע מכך שאין שום מחסום בדרך. לפי הווקטור התקיפה מגיעה מהרשת, אינה דורשת הרשאות, אינה דורשת פעולה של אף אחד, ושלושת סוגי הנזק מסומנים כגבוהים.

ופרט אחד ברשומה שווה קריאה איטית: היא מצטטת הודעת יצרן מ-9 במרץ 2023 שאמרה שגרסה מתוקנת תהיה זמינה בקרוב. כלומר הרשומה הזאת מתעדת רגע שבו החולשה הייתה ידועה ופומבית, והתיקון עוד לא היה בידי הלקוחות.

מי מושפע?

כל מי שמריץ ArrayOS AG בגרסה 9.4.0.481 או מתחת לה. הרשומה מונה גם את הדגמים: AG1000, AG1000T, AG1000V5, AG1100V5, AG1150 ו-AG1200, כלומר מכשירים פיזיים, לצד vxAG שהוא המכשיר הווירטואלי.

בשוק הישראלי Array Networks אינו מהשמות הנפוצים, ורוב שערי הגישה מרחוק כאן הם של יצרנים אחרים. זו אינה סיבה לדלג על הדף אם יש לכם אחד כזה, ולהפך: מוצר שאינו נפוץ מקבל פחות תשומת לב פנימית, ומכשיר תקשורת שמותקן פעם אחת ועובד נוטה להישאר באותה גרסה שנים.

האם מנוצלת בפועל?

כן. ב-25 בנובמבר 2024 הוסיפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הקטלוג שמאגד חולשות שידוע כי תוקפים עושים בהן שימוש בתקיפות, וקבעה לגופים הפדרליים האמריקאיים לסיים את הטיפול עד 16 בדצמבר 2024.

הפער כאן הוא הסיפור. הרשומה פורסמה ב-NVD במרץ 2023, והכניסה לקטלוג הגיעה בנובמבר 2024. חולשה בשער שחשוף לאינטרנט אינה מתיישנת מעצמה, והמכשירים שלא עודכנו במשך התקופה הזאת היו בדיוק אותם מכשירים.

מה עושים?

1. בדקו את גרסת ArrayOS AG שרצה אצלכם. כל מה שעד 9.4.0.481, כולל, נמצא בטווח.

2. את גרסת היעד קחו מההודעה העדכנית של היצרן ולא מכאן. הרשומה אינה נוקבת במספר הגרסה שסוגרת את החולשה, והיא מצטטת הודעה מ-2023 שאמרה שהתיקון בדרך, כך שהמספר הנכון הוא זה שמופיע כיום בהודעת האבטחה של Array Networks.

3. שימו לב שהעצה הרגילה אינה עובדת כאן. בממשק ניהול אפשר לצמצם את החשיפה בכך שמגבילים אותו לרשת פנימית, אבל שער VPN חייב לענות לאינטרנט כדי למלא את תפקידו. לכן העדכון הוא עיקר ההגנה, ולא הגבלת גישה.

4. אם הרצתם גרסה בטווח, התייחסו למה שהשער מחזיק כמשהו שאפשר שנקרא. מכשיר כזה שומר על עצמו הגדרות ופרטי התחברות, והחולשה מתוארת כמאפשרת מעבר על מערכת הקבצים בלי הזדהות. החלפת סודות ופרטי אימות שהיו מאוחסנים שם היא הצעד שמבטל את מה שאפשר שנחשף.