הרשומה הזאת קצרה בצורה יוצאת דופן. היא אומרת שתוקף יכול להריץ פקודות לא מורשות דרך בקשות API בנויות במיוחד, נותנת לזה 10 מתוך 10, ואינה מוסיפה כמעט דבר. אין דיווח על ניצול בשטח, אבל ציון מלא שאינו דורש חשבון הוא מהסוג שלא משאירים פתוח.

מה החולשה?

הכותרת שהרשומה נותנת לכשל היא נטרול לקוי של תווים מיוחדים בפקודה למערכת ההפעלה. נטרול, בהקשר הזה, הוא מה שתוכנה אמורה לעשות לתווים שיש להם משמעות מיוחדת ברגע שהם מגיעים אל ה-shell: הנקודה-פסיק שמסיימת פקודה אחת ופותחת את הבאה, הצינור שמעביר את הפלט הלאה, הגרש שסוגר מחרוזת פתוחה. בתוך טקסט רגיל אלה תווים ככל התווים, והמשמעות המיוחדת נדלקת רק בקצה.

כשהנטרול חסר, ערך שהגיע מבחוץ נכנס אל הפקודה כפי שהוא, והתווים האלה מתחילים לעבוד. השרת אינו מריץ את מה שהתכוון להריץ עם הערך שקיבל, אלא את מה שהערך קבע לו. הסיווג הוא CWE-78.

מה שהרשומה מוסרת על הנתיב מסתיים במילים בקשות API בנויות במיוחד. באיזה endpoint, באיזה שדה ובאיזה הקשר, היא אינה אומרת, וגם את שם המוצר אפשר ללמוד רק מרשימת הגרסאות שלה ולא מהמשפט עצמו.

נתון אחד מהווקטור כן שווה לציין כאן, כי הוא זה שקובע את סדר הפעולות: החולשה אינה דורשת הרשאות ואינה דורשת שמישהו ילחץ על משהו.

מי מושפע?

רשימת הגרסאות ברשומה: FortiSIEM 6.4.0, 6.4.1 ו-6.4.2; 6.5.0 ו-6.5.1; כל מה שבין 6.6.0 ל-6.6.3; כל מה שבין 6.7.0 ל-6.7.5; וגרסה 7.0.0.

שווה לקרוא את הגבולות בזהירות. בשני הטווחים הארוכים הגבול העליון כלול, כלומר 6.6.3 ו-6.7.5 עצמן חשופות ולא רק הגרסאות שמתחתיהן. וחשוב מזה: הרשומה מונה גרסאות חשופות ואינה נוקבת בגרסה מתוקנת לאף ענף. את המספר שצריך להגיע אליו אפשר לקבל רק מהודעת היצרן.

FortiSIEM היא מערכת שאוספת לוגים והתראות מרכיבי הרשת של ארגון ומרכזת אותם במקום אחד. זה אינו מוצר שמותקן על מחשב פרטי, ומי שאינו מפעיל מערכת ניטור כזאת אינו בטווח. בישראל פורטינט היא ספק נפוץ בארגונים, והמערכת הזאת יושבת בעיקר אצל מי שבנה לעצמו מרכז ניטור ואצל ספקי שירות שמנטרים עבור לקוחותיהם.

מכיוון שהחולשה אינה דורשת חשבון, מה שקובע את החשיפה בפועל הוא גבולות הרשת ולא רשימת ההרשאות. התקנה שהממשק שלה מוגבל לרשת ניהול פנימית נמצאת במצב אחר לגמרי מהתקנה שאפשר לפנות אליה מבחוץ.

האם מנוצלת בפועל?

לא לפי המידע שברשומה. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז את החולשות שיש עליהן ראיות לניצול בפועל.

מה שכן שווה לשים לב אליו הוא התאריך. הרשומה פורסמה ב-10 באוקטובר 2023, והעדכון האחרון שלה הוא מיוני 2026. חולשה בציון מלא שהתיקון שלה זמין שלוש שנים אינה הסיפור של מי שמחכה לעדכון, אלא של מי שהעדכון פסח עליו: התקנה שנשארה מאחור בשדרוג, מערכת שהוקמה לפרויקט ונשכחה, סביבה שעלתה לכמה ימים ונשארה שנים.

מה עושים?

1. בדקו איזו גרסה מותקנת אצלכם והשוו לרשימה שלמעלה, כולל הגבולות העליונים שנכללים בטווח.
2. את הגרסה שצריך לעדכן אליה תמצאו בהודעת האבטחה FG-IR-23-130 של פורטינט. שם נמצא גם הפירוט הטכני שהרשומה ב-NVD חוסכת, והוא המקור היחיד לשני הדברים האלה.
3. בדקו מי יכול בכלל לפנות אל ממשק ה-API של המערכת. הנתיב מתחיל בבקשה שמגיעה לממשק, ולכן הגבלת הגישה לרשת ניהול מצומצמת מעמידה מכשול לפניו עד שתשדרגו. זאת קריאה של התיאור ולא מעקף רשמי שהיצרן פרסם.
4. אם המערכת רצה שנים בגרסה שנמצאת בטווח, השדרוג הוא ההתחלה ולא הסוף. עברו על חשבונות המשתמשים במערכת ועל משימות מתוזמנות שמוגדרות בה, וחפשו מה שאף אחד אצלכם אינו יכול להסביר.