התיאור שמיקרוסופט פרסמה לחולשה הזאת הוא שורה אחת: חשיפת מידע ב-.NET Framework. מה שהרשומה כן אומרת הוא שתוקף שאינו מזוהה יכול להוציא מידע ממערכת שמריצה את הרכיב, דרך הרשת ובלי שום פעולה מצד מישהו אחר. הציון הוא 7.5 מתוך 10, ומפברואר 2025 החולשה רשומה כמנוצלת בפועל.
מה החולשה?
כאן צריך להיות ישרים לגבי מה שידוע. מיקרוסופט פרסמה כותרת וסיווג, לא מנגנון, ולכן אין בדף הזה הסבר כיצד החולשה עובדת. מה שאפשר לעשות הוא לקרוא את מה שכן נמסר.
הסיווג הוא CWE-209, והוא אומר משהו מוחשי. כשתוכנה נתקלת במצב שלא ציפתה לו, היא מייצרת הודעת שגיאה. ההודעה הזאת נכתבה עבור מי שמתחזק את המערכת, ולכן היא נוטה להכיל פרטים מהפנים: נתיב של קובץ, ערך מתוך ההגדרות, חלק משאילתה, כתובת של רכיב פנימי. כל עוד היא נשארת ביומן, זה בסדר. הבעיה מתחילה כשההודעה חוזרת אל מי ששלח את הבקשה, כי אז הפרטים הפנימיים יוצאים מהמערכת אל מי שגרם לשגיאה.
הדירוג מחדד את אופי הנזק. הפגיעה בסודיות המידע גבוהה, ובשלמות ובזמינות אין פגיעה כלל. כלומר התוקף קורא, הוא אינו משנה דבר ואינו מפיל שום שירות. התקיפה מגיעה מהרשת, במורכבות נמוכה, בלי פרטי אימות ובלי מעורבות של אף אחד.
מה שאין ברשומה הוא איזה מידע בדיוק נחשף ודרך איזה רכיב. מיקרוסופט לא פרסמה את זה, ולכן גם לא נשלים אותו כאן בניחוש.
ובכל זאת שווה להבין למה חולשה כזאת נחשבת. חשיפת מידע היא בדרך כלל לא המתקפה עצמה אלא השלב שלפניה: משהו שמגלה לתוקף איך המערכת בנויה בפנים, בלי שהוא צריך חשבון, חוסך לו את עבודת הגישוש ומכוון אותו לצעד הבא.
מי מושפע?
הרשומה מונה רשימה ארוכה של גרסאות .NET Framework: 2.0, 3.0, 3.5, 3.5.1, 4.6, 4.6.2, 4.7, 4.7.2, 4.8 ו-4.8.1.
וכאן הפרט המעשי שחשוב יותר מהרשימה. .NET Framework אינו תוכנה שמישהו מתקין ומעדכן בנפרד, אלא רכיב של חלונות שמגיע איתה ומתעדכן דרכה. יותר מזה, כמה גרסאות שלו יכולות לשבת על אותה מכונה במקביל, כי יישומים ותיקים דורשים ענף מסוים. לכן השאלה אינה אם אתם משתמשים ב-.NET, אלא אילו גרסאות מותקנות אצלכם ואם המכונה מעודכנת.
בישראל זה נוגע לכל מי שמריץ חלונות בארגון, ובמיוחד למי שמחזיק יישומים פנים-ארגוניים שנבנו על .NET Framework לפני שנים. אלה המכונות שבהן נוטים לשבת הענפים הישנים מהרשימה.
האם מנוצלת בפועל?
כן. ב-4 בפברואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 25 בפברואר 2025 לרשויות הפדרליות בארצות הברית.
הרשומה פורסמה במרץ 2024, כלומר כעשרה חודשים קודם. הקטלוג אינו מפרט מי ניצל את החולשה ובאיזה הקשר, ובשילוב עם התיאור הדל של מיקרוסופט זה כל מה שיש כאן. את הפרטים הרשמיים, ככל שיתווספו, מיקרוסופט מפרסמת בדף החולשה שלה.
מה עושים?
התיקון מגיע כעדכון אבטחה של חלונות, ולכן הצעד הוא להתקין את העדכונים ולא לחפש גרסה חדשה של הרכיב. בדף של מיקרוסופט מופיע העדכון המתאים לכל שילוב של גרסת .NET Framework וגרסת מערכת הפעלה, וזה המקום לאמת שהעדכון הנכון למכונה שלכם הותקן.
בדקו אילו גרסאות .NET Framework מותקנות על המכונה. מכיוון שכמה ענפים יכולים לשבת זה לצד זה, ולכל אחד יוצא עדכון נפרד, מכונה יכולה להיות מעודכנת בענף אחד ולא בשני.
בארגון שמנהל עדכונים דרך מערכת הפצה, זה המקום לוודא שהעדכונים של .NET Framework אושרו ולא נשארו ממתינים. זו קטגוריית עדכונים שנוטה להיות מופרדת מעדכוני המערכת עצמם, ולכן גם נוטה להישאר לא מאושרת.
ואם יש אצלכם מכונות שמותקן בהן ענף ישן מהרשימה, 2.0, 3.0 או 3.5, בדקו אם יישום כלשהו באמת זקוק לו. בחלונות הענפים האלה מותקנים כתכונה אופציונלית, ומכונה שאין בה יישום שדורש אותם יכולה פשוט לא להחזיק אותם.
ולבסוף, הערה שנובעת מהחסר בתיעוד: מכיוון שמיקרוסופט לא פרסמה את המנגנון, אין כאן מעקף ממוקד שאפשר להפעיל במקום העדכון, כמו חסימת נתיב מסוים או כיבוי הגדרה. העדכון הוא התשובה היחידה שיש.