Oracle Agile PLM היא המערכת שבה יצרנים מנהלים את מסמכי המוצר: שרטוטים, רשימות רכיבים, שינויי הנדסה. ברכיב הייצוא שלה, בגרסה 9.3.6, יש חולשה שמאפשרת למשתמש עם הרשאות נמוכות לקחת שליטה על המערכת. הציון הוא 8.8 מתוך 10, ו-CISA מסמנת אותה כחולשה שנוצלה בפועל.
מה החולשה?
כשתוכנה צריכה לשמור אובייקט שלם שקיים לה בזיכרון, או לשלוח אותו לתוכנה אחרת, היא הופכת אותו לרצף בתים. בצד השני מתבצע התהליך ההפוך: הרצף נקרא, והאובייקט נבנה ממנו מחדש. השלב השני הוא המעניין, כי כדי לבנות אובייקט מחדש התוכנה צריכה ליצור אותו, ויצירה של אובייקט מפעילה קוד שכתוב באובייקט הזה עצמו.
מכאן הבעיה. אם הרצף שממנו בונים הגיע מבחוץ ואיש לא בדק מה יש בו, מי ששלח אותו קובע איזה אובייקט ייבנה, ובעקיפין גם איזה קוד יופעל בדרך. לזה קוראים דה-סריאליזציה של נתונים שלא אומתו, והרשומה מסמנת אותה כ-CWE-502.
הרשומה גם ממקמת את זה: הרכיב הפגיע הוא Export, כלומר הייצוא. זה הגיוני, כי ייצוא ויבוא הם בדיוק המקומות שבהם מערכת מקבלת ומוציאה מבנים שלמים של נתונים ולא שדות בודדים.
הדירוג אומר שצריך חשבון עם הרשאות נמוכות, שהבקשה מגיעה מהרשת דרך HTTP, ושלא נדרשת פעולה של אף אחד אחר. הפגיעה גבוהה בשלושת הצירים, והרשומה מנסחת את התוצאה כהשתלטות על Agile PLM. לא קריאה של מסמך אחד, אלא המערכת.
מי מושפע?
הרשומה מונה גרסה אחת, Oracle Agile PLM 9.3.6, ומציינת שהרכיב הפגיע הוא Export.
זו מערכת של עולם הייצור וההנדסה ולא תוכנה שמישהו מתקין בבית, ולכן לגולש הפרטי אין כאן דבר. בישראל היא רלוונטית לחברות תעשייה ולחברות שמפתחות ומייצרות חומרה, ומי שצריך לפעול הוא מי שמתחזק את השרת. שווה לשים לב גם למה שיושב במערכת כזאת: המידע ההנדסי של המוצר, ולעיתים גם של הלקוחות שהיצרן עובד עבורם.
האם מנוצלת בפועל?
כן. ב-24 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 17 במרץ 2025 לרשויות הפדרליות בארצות הברית.
מלבד הודעת Oracle, הרשומה מקשרת גם לייעוץ של Zero Day Initiative על אותה חולשה, ושם יש תיאור טכני נוסף. הקטלוג עצמו אינו מפרט מי ניצל אותה ואיך.
מה עושים?
התיקון אינו טלאי נקודתי אלא מפלס: הוא מגיע דרך העדכון הרבעוני של Oracle, ה-Critical Patch Update. החולשה הזאת נסגרה בעדכון של ינואר 2024, שנמצא בדף התראות האבטחה של Oracle. התקנה שלו מביאה איתה גם את שאר החולשות שנסגרו באותה חבילה.
בדקו קודם אם אתם על 9.3.6, שזו הגרסה שהרשומה מונה, ומה מפלס ה-Critical Patch Update שמותקן אצלכם. אם הוא קדום לינואר 2024, החולשה פתוחה.
עד שהעדכון מתוכנן, יש צעד שמצמצם את החשיפה בלי לגעת בקוד: החולשה דורשת חשבון במערכת ויושבת ברכיב הייצוא, ולכן שווה לעבור על רשימת המשתמשים ולבדוק למי מהם באמת נחוצה גישה לפונקציות הייצוא.
והתיאור הטכני המורחב, למי שצריך להסביר את החולשה הלאה בארגון, נמצא בייעוץ של Zero Day Initiative.