בממשק הניהול של Versa Director יש אפשרות להחליף את האייקון הקטן שמופיע בלשונית הדפדפן. לפי הרשומה, אפשר להשתמש בה כדי להעלות אל השרת קובץ זדוני ששמו מסתיים בסיומת png ומתחזה בכך לתמונה. הציון הוא 7.2, והחולשה נמצאת ברשימת המנוצלות בפועל של CISA מאז אוגוסט 2024.

מה החולשה?

כשמערכת מאפשרת להעלות אליה תמונה, היא צריכה להכריע אם מה שהגיע הוא באמת תמונה. יש שתי דרכים לעשות זאת. האחת היא להסתכל בתוכן הקובץ עצמו ולבדוק שהוא בנוי כמו קובץ תמונה. השנייה, הקלה והחלשה, היא להסתכל בשם ולהאמין לסיומת שבסופו.

לפי הרשומה, אפשרות החלפת האייקון ב-Versa Director נסמכת על הסיומת. קובץ שתוכנו קוד ושמו מסתיים ב-png עובר כתמונה ונשמר על השרת. לכשל הזה קוראים העלאה בלי הגבלה של קובץ מסוג מסוכן, והסיווג הוא CWE-434.

מי שיכול להפעיל את האפשרות הזאת אינו כל משתמש. הרשומה מפרטת שהיא זמינה רק למי שהתחבר באחד משני תפקידי הניהול ברמת הספק, Provider-Data-Center-Admin או Provider-Data-Center-System-Admin, ושמשתמשים ברמת הלקוח אינם מחזיקים בהרשאה הזאת כלל. היא מדגישה גם שהניצול אפשרי רק אחרי התחברות מוצלחת.

זאת דרישה כבדה, והיא הסיבה שהציון הוא 7.2 ולא תשע ומשהו. פרופיל ה-CVSS מסמן במפורש שנדרשות הרשאות גבוהות, ובאותה נשימה מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות. במילים אחרות, מי שמגיע לכאן מגיע עם מפתחות ביד, ומה שהחולשה נותנת לו הוא להפוך אותם לקוד שיושב על השרת.

מי מושפע?

הרשומה מונה חמש גרסאות של Versa Director: 21.2.2, 21.2.3, 22.1.1, 22.1.2 ו-22.1.3.

Versa Director אינו מוצר שיושב על מחשב של משתמש קצה. מבנה ההרשאות שהרשומה מתארת, רמת ספק מעל רמת לקוחות, מספר מה הוא: קונסולת ניהול שגורם אחד מפעיל ומנהל דרכה סביבות של כמה לקוחות. בישראל קהל כזה מצומצם ומקצועי, ספקי שירות ואינטגרטורים גדולים. מי שאינו מריץ Versa Director אינו צריך לעשות דבר.

מצד שני, מי שכן מריץ אותו מריץ אותו במקום רגיש במיוחד. קונסולה שמנהלת סביבות של כמה לקוחות היא נקודה שממנה אפשר להגיע להרבה מאוד, וקוד שיושב על השרת שלה אינו נשאר בגבולות הלקוח האחד.

האם מנוצלת בפועל?

כן, וזה הפרט שהופך את דרישת ההרשאות מנחמה לאזהרה. ב-23 באוגוסט 2024, יום אחד אחרי שהרשומה נפתחה ב-NVD, נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הקטלוג שמרכז חולשות שיש עליהן ראיות לשימוש של תוקפים בשטח. המועד שנקבע לגופים הפדרליים היה 13 בספטמבר 2024.

מה שזה אומר בפועל: חולשה שדורשת חיבור כמנהל ברמת הספק נכנסה לקטלוג, כלומר מי שניצל אותה היה שם. דרישת ההרשאות אינה מגן, היא רק מתארת את השלב שקדם.

שווה לשים לב גם לתאריך העדכון האחרון של הרשומה, יוני 2026. חולשה משנת 2024 שהרשומה שלה עוד זזה שנתיים אחר כך היא חולשה שלא נסגרה בכל מקום.

מה עושים?

1. בדקו איזו גרסה של Versa Director רצה אצלכם והשוו לחמש שבטווח: 21.2.2, 21.2.3, 22.1.1, 22.1.2 ו-22.1.3.
2. קחו את הגרסה המתקנת ואת מסלול השדרוג מתוך הודעת האבטחה של Versa Networks. הרשומה מונה את הגרסאות החשופות אך אינה נוקבת בזאת שסוגרת.
3. התייחסו לפרטי האימות של חשבונות הניהול ברמת הספק כאל הדבר שבאמת חוסם את החולשה. צמצמו את מספר החשבונות שמחזיקים את התפקידים האלה, והחליפו את הסיסמאות שלהם, במיוחד אם ההתקנה רצה בטווח הגרסאות במשך התקופה שמאז 2024.
4. חפשו את העקבות. התוצר של ניצול כאן הוא קובץ שהועלה דרך אפשרות החלפת האייקון ושמו מסתיים ב-png. עברו על הקבצים שהועלו בנתיב הזה ובדקו אם יש שם משהו שאף אחד אצלכם לא שם, ועל יומני ההתחברות של חשבונות הניהול ברמת הספק מאותה תקופה.
5. אם ההתקנה עדיין בטווח, המועד שנקבע בקטלוג חלף לפני יותר משנתיים. זה אינו מצב שמתוכנן לחלון תחזוקה רחוק.