BeyondTrust Privileged Remote Access ו-Remote Support הם מוצרים שארגונים מתקינים כדי לנהל גישה מרוחקת למערכות שלהם, כולל גישה של ספקים חיצוניים. לפי הרשומה, תוקף שמחזיק בהרשאות ניהול במוצר יכול להריץ דרכו פקודות על המערכת שמתחתיו. הציון הוא 6.6 מתוך 10, והחולשה רשומה כמנוצלת בפועל מינואר 2025.

מה החולשה?

ממשק ניהול של מוצר כזה מאפשר להזין ערכים: כתובת שרת, שם משתמש, נתיב. לפעמים הערך שמוזן אינו נשאר נתון אלא נמסר הלאה למערכת ההפעלה כחלק מפקודה. אם אף אחד לא מוודא שהערך הוא רק ערך, התוכנה מריצה גם את החלק שהתוקף צירף אליו. לטכניקה הזאת קוראים OS command injection, והרשומה מסמנת אותה כ-CWE-78.

ההבדל בין שימוש לגיטימי בממשק לבין הרצת פקודות דרכו הוא ההקשר שבו הפקודה רצה. לפי הרשומה הפקודות רצות בהרשאות של משתמש האתר, כלומר של החשבון שמפעיל את המוצר על השרת.

נקודה אחת קובעת כמה החולשה חמורה: התוקף צריך להחזיק בהרשאות ניהול כדי להתחיל. הדירוג משקף את זה, הוא מסמן הרשאות גבוהות נדרשות ומורכבות ניצול גבוהה, ומכאן 6.6 ולא יותר. אבל הרשאות ניהול בתוך מוצר אינן אותו דבר כמו הרשאות על השרת שמריץ אותו, וזה בדיוק הגבול שהחולשה חוצה.

מי מושפע?

הרשומה מונה את Privileged Remote Access ואת Remote Support בכל הגרסאות עד 24.3.1 ועד בכלל.

בישראל זה נוגע לארגונים ולא לגולשים פרטיים. מוצרים כאלה יושבים בחברות גדולות, בגופי פיננסים, אצל ספקי שירות וב-MSP שמנהלים מערכות של לקוחות. מוצר שנועד לרכז גישה מרוחקת למערכות רגישות הוא מטרה טבעית, כי מי שמשתלט עליו מקבל דרך אחת אל כל מה שהוא מנהל.

האם מנוצלת בפועל?

כן. ב-13 בינואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה של החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 3 בפברואר 2025 לרשויות הפדרליות בארצות הברית.

הרשומה פורסמה ב-18 בדצמבר 2024, פחות מחודש לפני הכניסה לקטלוג.

מה עושים?

עדכנו לגרסה מעל 24.3.1. ההודעה של BeyondTrust היא המקור לבדוק בו איזה נתיב עדכון מתאים לכם, כי המוצר מגיע גם כשירות מנוהל וגם כהתקנה מקומית, והדרך לעדכן אינה זהה בשניהם.

מכיוון שהניצול דורש הרשאות ניהול, שווה לעבור במקביל על מי מחזיק אותן. צמצמו את מספר חשבונות הניהול, החליפו פרטי אימות של חשבונות שמשותפים לכמה אנשים, ובדקו ביומנים אם נעשו דרכם פעולות שלא אתם עשיתם.

ואם ממשק הניהול נגיש מהאינטרנט, הגבילו אותו לרשת הארגונית או ל-VPN עד שהעדכון מותקן. זה אינו תחליף לעדכון, אבל הוא מקטין את מספר מי שיכול לנסות.