Veeam Backup & Replication הוא שרת הגיבוי שארגונים רבים מריצים כדי להחזיק עותקים של השרתים והמכונות הווירטואליות שלהם. בגרסאות 12 שלפני 12.2.0.334 הוא מרכיב אובייקט מנתונים שהגיעו אליו מהרשת בלי לאמת אותם קודם, ומטען שנבנה במיוחד מגיע מכך להרצת קוד על השרת בלי כל הזדהות. הציון הוא 9.8 מתוך 10, והחולשה נמצאת בקטלוג החולשות שידוע על ניצולן בפועל.

מה החולשה?

כששתי תוכנות מעבירות ביניהן נתונים מורכבים, הצד השולח הופך אותם לרצף בייטים והצד המקבל מרכיב אותם בחזרה. ההרכבה הזאת אינה העתקה של מידע אלא יצירה של אובייקט לפי מה שכתוב ברצף, כולל ההחלטה איזה סוג אובייקט זה. שם נמצאת הסכנה: מי ששולח רצף שנבנה במיוחד אינו שולח נתונים אלא הוראה למקבל מה לבנות, ובנייה של האובייקט הנכון מפעילה קוד שהתוקף בחר. לסוג הזה קוראים deserialization של נתונים שלא אומתו, והתנאי היחיד הוא שהמקבל ירכיב בלי לבדוק קודם מה הגיע אליו.

שתי המילים החשובות ברשומה הן בלי הזדהות. השרת מגיע למצב הזה דרך פנייה מהרשת, לפני שמישהו הציג סיסמה, וזה מה שמביא את הציון ל-9.8: פנייה מרחוק, מורכבות נמוכה, אין דרישה להרשאות, אין דרישה לפעולה של משתמש, ושלושת סוגי הנזק גבוהים.

ויש כאן נקודה שנוגעת דווקא לשרת גיבוי. נוח לחשוב עליו כעל המערכת שמחזיקה את עותק הביטחון, אבל מבחינת תוקף הוא גם ההפך: מכונה שיש לה גישה אל כל מה שהיא מגבה, והמקום שממנו אמורים לשחזר אחרי אירוע. שרת כזה שנשלט אינו רק מידע שנחשף. הוא גם הגיבוי שאי אפשר לסמוך עליו בדיוק ברגע שצריך אותו.

מי מושפע?

הרשומה מתייחסת לגרסאות Veeam Backup & Replication מ-12.0.0.1420 ועד לפני 12.2.0.334. 12.2.0.334 היא הגרסה שבה נמצא התיקון, וגרסאות מאוחרות יותר כוללות אותו.

זה אינו מוצר שמגיע הביתה, אבל הוא נמצא בהרבה מאוד ארגונים בישראל, ובמיוחד אצל מי שאין לו צוות סייבר גדול: קופות חולים ומרפאות, עיריות ומועצות, חברות תעשייה, משרדי עורכי דין וראיית חשבון, בתי תוכנה. בכל מקום שבו מישהו הקים גיבוי מסודר לשרתים ולמכונות הווירטואליות, יש סיכוי טוב שזה מה שהוא הקים.

משתי סיבות שרת כזה נוטה להישאר בגרסה ישנה. הוא עובד בשקט ואינו מפריע לאף אחד, ושדרוג שלו נתפס כמשהו שמסכן דווקא את הגיבוי.

האם מנוצלת בפועל?

כן. ב-17 באוקטובר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שנאספה עליהן ראיה לכך שתוקפים משתמשים בהן בשטח, והמועד שנקבע לגופים הפדרליים לתקן היה 7 בנובמבר 2024.

הרשומה פורסמה ב-7 בספטמבר 2024, כחמישה שבועות קודם. התיאור שלה ב-NVD קצר ואינו מפרט את הדרך פנימה, אבל ניתוח טכני מפורט פורסם בבלוג המחקר של watchTowr.

מי שמריץ היום גרסה מהטווח שלמעלה אינו מתמודד עם סיכון תיאורטי. ניתוח ציבורי מפורט, חולשה בקטלוג, ושרת שכל תפקידו להיות זמין ברשת.

מה עושים?

שדרגו ל-12.2.0.334 או לגרסה מאוחרת יותר. ההורדה והפרטים נמצאים בהודעת האבטחה של Veeam, שהיא גם המקום שבו רשום מה כל גרסה מתקנת.

אם השדרוג מחייב חלון תחזוקה שאינו זמין מיד, הצעד הראשון הוא לוודא שהשרת אינו נגיש מהאינטרנט. שרת גיבוי אינו צריך לענות כלפי חוץ; הגישה אליו צריכה להיות מהרשת הפנימית או דרך VPN. הבדיקה הזאת לוקחת דקות, והיא סוגרת את הדרך שהחולשה משתמשת בה.

בדקו גם מי מורשה להתחבר לקונסולת הניהול והסירו חשבונות שאינם בשימוש. ואחרי השדרוג עברו על הגיבויים עצמם: שהם רצים, שהם מכסים את מה שהם אמורים לכסות, ושקיים לפחות עותק אחד שאי אפשר לכתוב אליו מהשרת הזה. זה מה שמשאיר לאן לחזור גם אם משהו קרה לפני העדכון.