BeyondTrust Privileged Remote Access ו-Remote Support הם המוצרים שארגונים שמים בדיוק במקום שבו עוברת גישה מרוחקת למערכות רגישות. ברשומה מתוארת חולשה שמאפשרת לתוקף בלי חשבון ובלי סיסמה להריץ דרכם פקודות, בציון 9.8 מתוך 10. היא מנוצלת בפועל מדצמבר 2024.

מה החולשה?

כשתוכנה בונה פקודה שהיא מעבירה הלאה להרצה, היא מרכיבה אותה משני חלקים: חלק שהיא כתבה בעצמה וחלק שהגיע מבחוץ. כל עוד החלק שהגיע מבחוץ נשאר נתון, אין בעיה. הבעיה מתחילה כשהוא מצליח להיות חלק מהפקודה, כלומר כשמי ששלח אותו יכול לגרום לתוכנה לקרוא חלק ממה שנשלח כהוראה ולא כתוכן. הרשומה מסמנת את החולשה כ-CWE-77.

הפרט שקובע כאן הוא מי יכול לעשות את זה. הרשומה אומרת במפורש שהתוקף אינו מאומת, כלומר אין צורך בחשבון, בהזמנה או בהרשאה קודמת. הפקודות שמוזרקות רצות בהרשאות של משתמש האתר, החשבון שמפעיל את המוצר על השרת.

מכאן גם הציון. הדירוג מסמן גישה מהרשת, מורכבות נמוכה, בלי הרשאות ובלי פעולה של המשתמש, ופגיעה גבוהה בסודיות, בשלמות ובזמינות. זה השילוב שמייצר 9.8, וזה כמעט המקסימום.

וכדאי לעצור על מה שהמוצר הוא. מוצר שתפקידו לרכז גישה מרוחקת מחזיק, מעצם ההגדרה שלו, את הדרך אל המערכות שמעבר לו.

מי מושפע?

הרשומה מונה את Privileged Remote Access ואת Remote Support בכל הגרסאות עד 24.3.1 ועד בכלל.

בישראל זה עניין של ארגונים ולא של גולשים פרטיים. מוצרים כאלה נמצאים בחברות גדולות, בגופי פיננסים, ואצל ספקי שירות מנוהל שמתחברים דרכם למערכות של הלקוחות שלהם. המשמעות של החוליה הזאת היא שחשיפה אצל ספק אחד אינה נעצרת אצלו, אלא מגיעה לכל מי שהוא מנהל.

האם מנוצלת בפועל?

כן, ובמהירות חריגה. הרשומה פורסמה ב-17 בדצמבר 2024, וכבר ב-19 בדצמבר, יומיים אחר כך, נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל.

ומועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 27 בדצמבר 2024, שמונה ימים. הקטלוג נותן בדרך כלל שבועות. שמונה ימים הם סימן בפני עצמו.

מה עושים?

עדכנו לגרסה מעל 24.3.1. ההודעה של BeyondTrust היא המקור לנתיב העדכון שמתאים להתקנה שלכם.

אם ההתקנה נגישה מהאינטרנט, וברוב המקרים זה בדיוק מה שהיא, הגבילו את מי שיכול להגיע אליה עד שהעדכון מותקן. חולשה שאינה דורשת אימות נחסמת בשלב הרשת.

ואחרי העדכון יש עוד שלב. ניצול שמריץ פקודות בהרשאות החשבון שמפעיל את המוצר אינו משאיר בהכרח סימן בממשק, ולכן בדקו ביומני השרת פעולות שלא אתם יצרתם, חפשו חשבונות או מפתחות גישה שנוספו, והחליפו פרטי אימות שהמוצר מחזיק כדי להתחבר למערכות אחרות. עדכון סוגר את הדלת הבאה, לא את מי שכבר נכנס.

ניתוח של Rapid7 שהרשומה מקשרת אליו מרחיב על החולשה.