Qlik Sense הוא מוצר ניתוח נתונים שארגונים מריצים על שרת Windows פנימי, ולעתים חושפים גם לאינטרנט. ברשומה מתוארת חולשה שמאפשרת לתוקף מרוחק להריץ קוד על השרת הזה דרך בקשות HTTP, בציון 9.6 מתוך 10. מינואר 2025 היא רשומה כמנוצלת בפועל.
מה החולשה?
כשתוכנה מקבלת בקשת HTTP מהרשת, היא צריכה להחליט מה בבקשה הוא מידע ומה הוא הוראה. הכותרות של הבקשה, אותן שורות שמופיעות לפני התוכן עצמו, הן המקום שבו ההחלטה הזאת נעשית. לפי הרשומה, Qlik Sense לא בדק את הכותרות האלה כראוי.
מה שזה מאפשר הוא להחביא בקשה אחת בתוך בקשה אחרת. התוקף שולח משהו שנראה כמו בקשה תקינה, אבל בנוי כך שהרכיב הבא בשרשרת מפרסר אותו כשתי בקשות נפרדות. הבקשה השנייה, זו שהוחבאה, מגיעה אל רכיב פנימי שלא היה אמור לקבל פניות מבחוץ בכלל. לטכניקה הזאת קוראים HTTP request smuggling, והרשומה מסמנת את החולשה כ-CWE-444.
הרכיב הפנימי שמדובר בו הוא זה שמנהל את המאגר של Qlik Sense. בקשה שמגיעה אליו מטופלת בהרשאות גבוהות משל התוקף, וכך הוא מרחיב את מה שהוא יכול לעשות.
יש כאן פרט אחד ששווה לעצור עליו. הרשומה מציינת שהחולשה קיימת מפני שהתיקון של CVE-2023-41265 לא היה שלם. זה התיקון השני לאותה בעיה.
מי מושפע?
המוצר הוא Qlik Sense Enterprise for Windows, והרשומה מונה שמונה מסלולי גרסאות: November 2021, February 2022, May 2022, August 2022, November 2022, February 2023, May 2023 ו-August 2023. כלומר כל מי שלא התקין את ה-patch המתאים למסלול שהוא נמצא עליו.
בישראל מדובר בקהל ממוקד ולא בציבור הרחב. Qlik Sense הוא כלי שמותקן בארגונים, בעיקר במחלקות נתונים, כספים ובקרה, ולא תוכנה שמישהו מתקין בבית. מה שכן, שרת כזה מרכז בדיוק את הנתונים שהארגון הכי פחות רוצה לאבד.
האם מנוצלת בפועל?
כן. ב-13 בינואר 2025 הוסיפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל. מועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 3 בפברואר 2025.
הרשומה פורסמה בנובמבר 2023, והקטלוג סימן את החולשה כמנוצלת יותר משנה אחר כך.
מה עושים?
עדכנו ל-patch שמתאים למסלול הגרסאות שלכם. הרשומה מונה את גרסאות היעד במדויק: August 2023 Patch 2, May 2023 Patch 6, February 2023 Patch 10, November 2022 Patch 12, August 2022 Patch 14, May 2022 Patch 16, February 2022 Patch 15 ו-November 2021 Patch 17. ההודעה של Qlik מרכזת את התיקונים.
בדקו במקביל מי בכלל מגיע לשרת. אם ממשק Qlik Sense נגיש מהאינטרנט ולא רק מהרשת הפנימית, הגבילו את הגישה אליו עד שהעדכון מותקן.
ואם התקנתם בעבר את התיקון ל-CVE-2023-41265 והנחתם שהנושא סגור, זו ההנחה שכדאי לבדוק מחדש.