Proself, מערכת יפנית לשיתוף קבצים ולהעברת מסמכים בארגונים, מכילה חולשה שמאפשרת לתוקף מרוחק לקרוא קבצים מהשרת, ובהם קבצים שמכילים פרטי חשבונות. אין צורך בהזדהות. החולשה מופיעה בקטלוג החולשות המנוצלות של CISA מאז דצמבר 2024.
מה החולשה?
המערכת מקבלת בקשות שבתוכן נתונים בפורמט XML, פורמט טקסט שמתאר נתונים בעזרת תגיות. בתקן של XML יש אפשרות להגדיר בתוך המסמך הפניה לתוכן חיצוני, למשל לקובץ שנמצא על הדיסק, והרכיב שמפרסר את המסמך ייגש לאותו תוכן וישתול אותו בתוך המסמך.
כשמערכת מפרסרת XML שהגיע מגורם לא מזוהה בלי לחסום את האפשרות הזאת, תוקף יכול לשלוח מסמך שמפנה לקובץ על השרת ולקבל את תוכנו בחזרה. לטכניקה הזאת קוראים XML External Entity, ובקצרה XXE.
ברשומה מצוין מה נחשף בפועל: קבצים שמכילים פרטי חשבונות. כלומר החולשה אינה מאפשרת להריץ קוד, היא מאפשרת לקרוא, ומה שהיא קוראת הוא בדיוק מה שדרוש כדי להתחבר אחר כך כמשתמש שנראה לגיטימי.
מי מושפע?
לפי הרשומה, החולשה קיימת ב-Proself Enterprise וב-Standard Edition בגרסאות 5.62 ומטה, ב-Proself Gateway Edition בגרסאות 1.65 ומטה, וב-Proself Mail Sanitize Edition בגרסאות 1.08 ומטה.
וכאן צריך לומר את הדבר הפשוט: Proself הוא מוצר יפני שמשווק בעיקר בשוק המקומי שם, והסיכוי שהוא רץ בארגון ישראלי קטן. אם הגעתם לדף הזה מחיפוש, סביר שאתם בודקים ספק, מערכת שהגיעה עם רכישה, או שרת שירשתם ממישהו אחר.
מי שכן צריך להתייחס לזה הם ארגונים עם פעילות מול יפן, וצוותי IT שמנהלים סביבות של חברות בנות בחו"ל. במקרים כאלה המערכת לרוב נגישה מהאינטרנט, כי זאת כל מטרתה.
האם מנוצלת בפועל?
כן. ב-3 בדצמבר 2024 נוספה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכז חולשות שתועדה בהן תקיפה בפועל, והמועד שנקבע לגופים פדרליים לטפל בה היה 24 בדצמבר 2024.
ברשומה מופיעה גם הודעה של JVN, מערך הדיווח על חולשות ביפן, לצד הודעת היצרן עצמו. חולשת XXE במערכת שיתוף קבצים היא מטרה הגיונית לתוקף: היא מחזירה פרטי חשבונות, ופרטי חשבונות הם הכרטיס לכניסה הבאה.
מה עושים?
עדכנו לפי המהדורה שאתם מריצים: 5.63 ומעלה ב-Enterprise וב-Standard, 1.66 ומעלה ב-Gateway Edition, ו-1.09 ומעלה ב-Mail Sanitize Edition. הודעת היצרן מפרטת את הגרסאות, וההודעה של JVN מסכמת אותה באנגלית, מה שמקל אם אינכם קוראים יפנית.
אם אינכם יודעים אם יש אצלכם Proself בכלל, עברו על ממשקי שיתוף הקבצים שהארגון מפעיל מול גורמים חיצוניים ובדקו מה מותקן על שרתים שהגיעו עם שיתוף פעולה או עם רכישה.
ואם רצתם בגרסה חשופה שהייתה נגישה מהאינטרנט, הניחו שפרטי חשבונות נקראו. אפסו סיסמאות למשתמשי המערכת ועברו על יומני הגישה בחיפוש התחברויות מכתובות לא מוכרות.