הציון של החולשה הזאת הוא 10 מתוך 10, המקסימום בסולם. היא יושבת ב-ScreenConnect של ConnectWise בכל הגרסאות עד 23.9.7 ועד בכלל, ומאפשרת למי שאין לו שום חשבון להגיע פנימה בלי לעבור דרך מסך ההתחברות. ב-22 בפברואר 2024 היא נכנסה לקטלוג החולשות המנוצלות של CISA.

מה החולשה?

אפליקציה שמגינה על עצמה מציבה שומר בכניסה: כל בקשה עוברת דרך בדיקה שמוודאת מי שלח אותה ומה מותר לו. הבדיקה הזאת שווה בדיוק כמו מספר הדרכים שמובילות פנימה. אם נשארה בקוד עוד דרך אחת להגיע לאותה יכולת, דרך שנבנתה למטרה אחרת ומעולם לא חוברה לשומר, אין צורך לשבור את הבדיקה. פשוט לא עוברים דרכה. לתבנית הזאת קוראים עקיפת אימות דרך נתיב חלופי, והיא הסיווג שקיבלה הרשומה הזאת, CWE-288.

שני דברים מרימים כאן את הציון עד הסוף. הראשון הוא שאין תנאי מקדים כלשהו: התקיפה מגיעה מהרשת, אינה דורשת הרשאות ואינה מחייבת שמישהו בצד השני ילחץ על משהו. השני הוא שהווקטור מסמן שינוי היקף, כלומר מה שנשבר ברכיב אחד מתגלגל הלאה אל מעבר לו. ScreenConnect הוא כלי שליטה במחשבים מרוחקים, ולכן מי שנכנס אליו אינו נשאר בתוכו.

יש גם הוכחת היתכנות פומבית. שמה של זו שפרסמה חברת watchtowr מעיד על מה שהיא מדגימה, יצירת משתמש חדש דרך העקיפה, ובמקביל נפתחה בקשת מיזוג שמוסיפה מודול מתאים לכלי Metasploit. קוד שזמין לכולם מקצר את הדרך גם למי שרק מנסה.

מי מושפע?

כל שרת ScreenConnect בגרסה 23.9.7 או ישנה יותר. הגרסה שסוגרת היא 23.9.8.

מי שמפעיל שרת כזה הוא כמעט תמיד ארגון ולא אדם פרטי, ובכל זאת התוצאה מגיעה גם ללקוח הביתי. שרת ScreenConnect אחד מחזיק חיבור אל כל המחשבים שהוא מנהל, כך שהמרחק בין שרת פרוץ לבין המחשב שלכם הוא צעד אחד. בישראל המשמעות המעשית היא שהשאלה אינה רק אם המוצר מותקן אצלכם, אלא מי מחובר אליכם באמצעותו.

האם מנוצלת בפועל?

כן, וכבר מפברואר 2024. ב-22 בחודש נוספה החולשה לקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הרשימה שמרכזת חולשות שידוע כי תוקפים מפעילים אותן בעולם האמיתי. המועד שנקבע לגופים הפדרליים לסגור אותה היה 29 בפברואר 2024, שבעה ימים בלבד אחרי הכניסה לרשימה.

הקטלוג אינו אומר מי ניצל ובאיזה הקשר. חברת Huntress פרסמה ניתוח משלה של עקיפת האימות. הרשומה עצמה עודכנה ב-NVD לאחרונה ביוני 2026, יותר משנתיים אחרי הפרסום הראשון.

מה עושים?

1. בדקו איזו גרסה רצה בשרת שלכם. 23.9.7 ומטה נמצאות בטווח.
2. עדכנו ל-23.9.8 או לגרסה חדשה ממנה. הודעת האבטחה של ConnectWise מפרטת את העדכון.
3. עברו על רשימת המשתמשים בשרת וחפשו חשבונות שלא אתם פתחתם, במיוחד כאלה עם הרשאות ניהול. הוכחת ההיתכנות הפומבית מדגימה בדיוק את הצעד הזה, ועדכון אינו מוחק משתמש שכבר נוצר.
4. אם השרת נגיש מהאינטרנט, הגבילו את מי שיכול להגיע אליו לכתובות שאתם מכירים. זה אינו תחליף לעדכון, אבל זה מקטין את מספר מי שיכול בכלל לנסות.