ב-SolarWinds Web Help Desk, מערכת שארגונים מריצים כדי לנהל קריאות שירות ונכסי IT, הושארו פרטי אימות בתוך הקוד של התוכנה עצמה. מי שמכיר אותם פונה למערכת מהרשת, בלי חשבון משלו, קורא מידע ומשנה נתונים. CISA צירפה את החולשה לקטלוג החולשות שמנוצלות בפועל באוקטובר 2024, והציון שניתן לה הוא 9.1 מתוך 10.

מה החולשה?

Web Help Desk הוא מערכת כרטיסי שירות: עובד פותח פנייה, צוות ה-IT מטפל בה, ולאורך הדרך המערכת מחזיקה את רשימת הפניות והנכסים של הארגון. היא מותקנת בתוך הרשת הארגונית ומיועדת להיות נגישה לעובדים בדפדפן.

נניח שיצרן מנעולים משאיר בכל דלת מאותו דגם קוד מאסטר זהה, ואינו מספר ללקוחות שהוא קיים. זה המצב כאן. כשמפתח משאיר שם משתמש וסיסמה קבועים בתוך קוד התוכנה, אותה סיסמה קיימת בכל התקנה של אותה גרסה בעולם: הלקוח אינו מגדיר אותה, אינו יכול לשנות אותה מהממשק, ולרוב אינו יודע שהיא שם. לסוג הכשל הזה קוראים use of hard-coded credentials.

לפי הרשומה התוקף אינו צריך חשבון, אינו צריך הרשאה מוקדמת ואינו צריך שמשתמש כלשהו יעשה משהו. הוא פונה מהרשת, מגיע לפונקציות הפנימיות של המערכת, וקורא מידע וגם משנה נתונים.

שווה לקרוא את הציון בדיוק: 9.1 מורכב מפגיעה גבוהה בסודיות ובשלמות המידע, ומאפס פגיעה בזמינות. המערכת אינה נופלת. היא ממשיכה לעבוד כרגיל בזמן שמי שאינו אמור להיות שם קורא ומשנה בה נתונים.

מי מושפע?

לפי הרשומה, כל הגרסאות שלפני 12.8.3, וגם 12.8.3 עצמה, כולל התיקון הראשון שיצא לה (Hotfix 1).

זאת תוכנה של צוותי IT ולא של משתמשי בית. בישראל SolarWinds מוכרת בעיקר בארגונים בינוניים וגדולים, ברשויות ובגופים ציבוריים, ומערכת כרטיסי שירות היא בדיוק הסוג של מערכת פנימית שמותקנת פעם אחת וממשיכה לעבוד שנים בלי שמישהו חוזר אליה.

אם אתם משתמשים פרטיים, החולשה הזאת אינה נוגעת לכם ישירות.

האם מנוצלת בפועל?

כן. ב-15 באוקטובר 2024 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע כי תוקפים משתמשים בהן בשטח ולא רק בתנאי מעבדה. גופים פדרליים בארצות הברית נדרשו לסגור אותה עד 5 בנובמבר 2024, שלושה שבועות בלבד אחרי הצירוף.

הרשומה פורסמה באוגוסט 2024, והחולשה אינה חדשה. זה אינו אומר שהיא טופלה בכל מקום: מערכת שירות פנימית היא בדיוק מה שנדחק לסוף תור העדכונים, מפני שהיא אינה מול הלקוחות ואף אחד אינו מתלונן עליה.

מה עושים?

עדכנו ל-Web Help Desk 12.8.3 Hotfix 2. שימו לב לפרט שקל לפספס: גרסה 12.8.3 לבדה, וגם Hotfix 1 שיצא לה, עדיין בטווח הפגיע לפי הרשומה. התיקון הוא Hotfix 2, והוראות ההתקנה נמצאות באתר התמיכה של SolarWinds.

בדקו איזו גרסה מותקנת אצלכם בפועל לפני שאתם מניחים שאתם מכוסים. בהתקנות ותיקות, הגרסה שרשומה במסמכים והגרסה שרצה על השרת אינן תמיד אותה גרסה.

הוציאו את המערכת מהאינטרנט הפתוח. הניצול מתחיל בפנייה מהרשת בלי הזדהות, ולכן כל חשיפה חיצונית מיותרת של Web Help Desk מקרבת את החולשה ממסוכנת לזמינה. גישה של עובדים מבחוץ יכולה לעבור דרך VPN.

ואם הרצתם גרסה בטווח הפגיע כשהיא חשופה לאינטרנט מאז אוקטובר 2024, אל תתייחסו לעדכון כסוף הטיפול. החולשה מאפשרת גם שינוי נתונים ולא רק קריאה שלהם, ולכן בדקו ביומני המערכת אם היו פניות ושינויים שאינכם מזהים. ההודעה הרשמית של SolarWinds היא הכתובת לפרטים.