ממשק הניהול של LoadMaster קיבל פנייה מהרשת, ובלי לדרוש שם משתמש או סיסמה אפשר היה להריץ דרכו פקודות מערכת על המכשיר. הציון הוא 10 מתוך 10, הגבוה ביותר בסולם, וחולשה מקבלת אותו רק כשכל הגורמים נוחים לתוקף בבת אחת. הגרסאות שסוגרות אותה הן 7.2.48.10, 7.2.54.8 ו-7.2.59.2, לפי הענף שרץ אצלכם.

מה החולשה?

קודם כל, מה המוצר הזה עושה. LoadMaster הוא מוצר של Progress, ובין אתרי היצרן שמופיעים ברשומה נמצאים אתר התמיכה של Kemp, השם שהמוצר נשא קודם, ואתר בשם freeloadbalancer.com. השם הזה מלמד על התפקיד: איזון עומסים, כלומר פיזור הפניות הנכנסות בין כמה שרתים שמשרתים את אותו שירות. מוצר כזה יושב במקום שבו תעבורה עוברת, וממשק הניהול שלו הוא מה שקובע לאן היא עוברת.

החולשה עצמה היא בצד הניהול, ולא בצד שמעביר תעבורה. כשמכשיר מריץ פקודה שנבנית מתוך קלט שהגיע מבחוץ, הקלט הזה חייב להיות מסונן. אם הוא אינו מסונן, מי ששולח אותו יכול לצרף לו פקודה משלו, והמכשיר מריץ את שתיהן בלי להבחין ביניהן. המחלקה הזאת נקראת הזרקת פקודות למערכת ההפעלה, וברשומה היא מסומנת CWE-78.

הגורם שמביא את הציון לעשר אינו עוצמת הנזק אלא שילוב התנאים. לפי הווקטור, התקיפה נעשית מהרשת, אינה דורשת שום הרשאה מוקדמת, אינה דורשת שום פעולה של מישהו בצד השני, ומסומנת כבעלת סיבוכיות נמוכה. כלומר אין חשבון שצריך להשיג ואין משתמש שצריך להטעות. בנוסף, היקף התקיפה מסומן כמשתנה, וזו הדרך הפורמלית לומר שהנזק אינו נעצר בגבול הרכיב הפגיע אלא חוצה אותו.

מי מושפע?

הרשומה מונה שלושה ענפים, וזה הפרט שקל לפספס. מושפעות הגרסאות מ-7.2.48.1 ועד 7.2.48.10, מ-7.2.54.0 ועד 7.2.54.8, ומ-7.2.55.0 ועד 7.2.59.2. שלוש גרסאות התיקון הן הקצה העליון של כל ענף: 7.2.48.10, 7.2.54.8 ו-7.2.59.2.

מספר הענף לבדו אינו אומר אם אתם ברשימה, כי בכל ענף יש גרסאות שבטווח וגרסה אחת שמחוצה לו. את המספר המדויק שרץ אצלכם צריך להשוות מול השלושה האלה.

זה אינו נושא למשתמש הביתי אלא למי שמנהל תשתית. מה שכן, אחד מאתרי היצרן ברשומה הוא אתר של מהדורה חינמית, ומוצר שיש לו מהדורה חינמית מותקן גם במקומות שאין להם חוזה תמיכה ואין להם מי שעוקב אחרי הודעות אבטחה. אלה המכשירים שנשארים פגיעים הכי הרבה זמן.

האם מנוצלת בפועל?

כן. ב-18 בנובמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בפועל, והמועד שנקבע שם לגופים הפדרליים האמריקאיים לסיום הטיפול היה 9 בדצמבר 2024.

שווה לשים לב לפער בתאריכים. הרשומה ב-NVD פורסמה בפברואר 2024, והכניסה לקטלוג הגיעה תשעה חודשים אחר כך. הידיעה על החולשה הייתה פומבית זמן רב לפני שתועד שימוש בה.

מה עושים?

1. בררו קודם איזו גרסה רצה אצלכם, ברמת המספר המלא ולא ברמת הענף. היעד הוא 7.2.48.10, 7.2.54.8 או 7.2.59.2, לפי הענף שאתם בו. שלוש הגרסאות פורסמו יחד, והודעת השחרור של היצרן מפרטת אותן.

2. הוציאו את ממשק הניהול מהאינטרנט. הדרך שהרשומה מתארת עוברת דרך הממשק הזה, ולכן הגבלת הגישה אליו לרשת פנימית בלבד מצמצמת את מי שיכול בכלל לנסות. זה נכון גם אחרי שהעדכון הותקן, כי הממשק הזה אינו צריך להיות חשוף מלכתחילה.

3. אם הממשק היה חשוף לאינטרנט בגרסה פגיעה, אל תעצרו בעדכון. הרצת פקודות על המכשיר מאפשרת לשנות בו הגדרות, ולכן עברו על הגדרות התעבורה ועל חשבונות הניהול וחפשו שינויים שאינכם יכולים לייחס למישהו. הודעת היצרן על החולשה מרכזת את הפרטים.