ב-Oracle Agile PLM Framework, מערכת שמנהלת את מחזור החיים של מוצר בחברות שמייצרות חומרה, יש חולשה שמאפשרת לתוקף מרוחק להגיע למידע שבמערכת בלי להזדהות. לפי ההתראה של Oracle הניצול קל, והתוצאה יכולה להיות גישה לכל המידע שהמערכת נותנת גישה אליו. החולשה נמצאת בקטלוג החולשות המנוצלות של CISA מאז נובמבר 2024.

מה החולשה?

Agile PLM הוא המקום שבו חברה שומרת את מה שהופך מוצר למוצר: שרטוטים, מפרטים, רשימות רכיבים, גרסאות, ומי אישר מה ומתי. המערכת מיועדת לעבוד מול ספקים ומול מחלקות שונות, ולכן היא בנויה מראש להיות נגישה ברשת.

לפי הרשומה, הכשל יושב ברכיב ה-Software Development Kit וה-Process Extension של המערכת. תוקף שפונה אליו ב-HTTP מקבל גישה בלי שהמערכת דורשת ממנו להזדהות קודם.

סוג הכשל מסווג כהרשאה שגויה: לא מדובר בהיעדר מנגנון הרשאות אלא בכך שהמנגנון החזיר את התשובה הלא נכונה במסלול הזה. בפועל ההבדל אינו חשוב למי שנתקף. התוצאה זהה.

מי מושפע?

לפי הרשומה, Oracle Agile PLM בגרסה 9.3.6.

מערכות PLM מותקנות בחברות שמייצרות חומרה: תעשייה ביטחונית, רכיבים אלקטרוניים, ציוד רפואי, קווי ייצור. בישראל זה קהל מוגדר אבל לא קטן, וחלק ממנו מחזיק מערכות ותיקות שעובדות מול ספקים בחו"ל.

שווה לשים לב למה שהחולשה חושפת. מידע ב-PLM אינו רשימת לקוחות, הוא התכנון עצמו: איך המוצר בנוי, מאיזה רכיבים, ומאיזה ספק. זה בדיוק המידע שאין לו גרסה מוחלפת אחרי דליפה.

האם מנוצלת בפועל?

כן. ב-21 בנובמבר 2024 צירפה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV, שמרכז חולשות שתועד בהן שימוש בפועל, והמועד שנקבע לגופים פדרליים היה 12 בדצמבר 2024.

הפרסום עצמו הגיע כהתראת אבטחה נפרדת של Oracle ולא במסגרת מחזור העדכונים הרבעוני שלה. יצרן מוציא התראה כזאת כשהוא אינו רוצה לחכות לתאריך הבא.

מה עושים?

התקינו את התיקון שפרסמה Oracle. ההתראה זמינה באתר החברה, והיא הכתובת שצריך להסתמך עליה כאן, מפני שהתיקון יצא מחוץ למחזור העדכונים הרגיל ואפשר לפספס אותו כשעוברים רק על העדכונים הרבעוניים.

בדקו אם הרכיבים הרלוונטיים, ה-Software Development Kit וה-Process Extension, בכלל נדרשים אצלכם. אם אינם בשימוש, הסרה או חסימה שלהם מקטינה את החשיפה עוד לפני שמתקינים את העדכון.

הוציאו את המערכת מהאינטרנט הפתוח. גישה של ספקים אל PLM יכולה לעבור דרך חיבור VPN או דרך רשימת כתובות מאושרות, ואין סיבה שמערכת שמחזיקה שרטוטים תענה לכל פנייה מהרשת.

ואם המערכת בגרסה 9.3.6 הייתה חשופה לאינטרנט מאז נובמבר 2024, התייחסו לזה כאל דליפה אפשרית ולא רק כאל חולשה שנותרה פתוחה. בדקו ביומני הגישה אם היו פניות לא מזוהות לרכיבים האלה.