תוכנת הגיבוי NAKIVO Backup & Replication מחזיקה endpoint שמחזיר קבצים מהשרת לפי נתיב שהפונה בוחר, בלי לדרוש ממנו להתחבר קודם. הציון הוא 8.6 מתוך 10, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA מאז 19 במרץ 2025. הגרסה שסוגרת אותה היא 11.0.0.88174.

מה החולשה?

שרת אמור להגיש רק את הקבצים שהוגדר לו להגיש, ולכן כשבקשה נוקבת בשם של קובץ, השרת אמור לפרש אותו ביחס לתיקייה מסוימת ולא לתת לו לצאת ממנה. כאן זה לא קורה. ה-endpoint שנקרא getImageByPath, שיושב תחת הנתיב /c/router, מקבל נתיב מוחלט ומשתמש בו כמו שהוא, כך שמי שמצביע על קובץ אחר לגמרי במערכת הקבצים פשוט מקבל אותו בתשובה. המחלקה הזאת מסומנת ברשומה CWE-36, מעבר בנתיב מוחלט.

מה שהופך קריאת קבצים לחמורה כאן הוא לא הקריאה אלא מה שמונח בקבצים. הרשומה מציינת שהרכיב PhysicalDiscovery שומר פרטי אימות בטקסט גלוי, ולכן מי שמושך את הקובץ הנכון יוצא משם עם פרטי חיבור עובדים. הרשומה מוסיפה שמשם הדרך פתוחה להרצת קוד על מערכות נוספות בארגון. זה ההפרש בין דליפה של קובץ אחד לבין אירוע שמתגלגל הלאה.

שווה להפריד בין מה שהדירוג טוען למה שהוא לא. הפגיעה בסודיות מסומנת גבוהה, והפגיעה בשלמות ובזמינות מסומנת אפס. כלומר החולשה עצמה קוראת בלבד, היא אינה כותבת ואינה מפילה את השרת. מה שקורה אחרי שהתוקף קרא את פרטי האימות כבר לא נמדד בציון הזה, וזאת בדיוק הסיבה שהציון לבדו לא מספר כאן את כל הסיפור.

לפי הדירוג לא נדרשים שם משתמש, הרשאה כלשהי, או פעולה של מישהו בצד השני. בקשה אחת מהרשת מספיקה.

מי מושפע?

מדובר ב-NAKIVO Backup & Replication Director בכל גרסה שלפני 11.0.0.88174.

זו אינה תוכנה שיושבת במחשב ביתי, ולכן הגולש הפרטי אינו נדרש כאן לשום פעולה. מי שצריך לבדוק הוא מי שמפעיל אצלו שרת גיבוי כזה, בדרך כלל ארגון עם סביבת שרתים משלו או ספק שירותי IT שמגבה לקוחות. הזווית שכדאי להחזיק בראש היא ששרת גיבוי הוא לפי תפקידו המקום שבו מרוכזים פרטי החיבור לכל מה שהוא מגבה, ולכן קריאה של קובץ אחד ממנו שווה הרבה יותר מקריאה של קובץ מכל שרת אחר ברשת.

האם מנוצלת בפועל?

כן. ב-19 במרץ 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, קטלוג שמרכז חולשות שנצפה בהן שימוש בתקיפות אמיתיות, והתאריך שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול היה 9 באפריל 2025.

יש כאן נסיבה שמאיצה את הכל. הרשומה מפנה לפרסום של חוקרי watchTowr ולצידו קוד הדגמה פומבי במאגר שלהם. כשקוד הדגמה זמין לכל, הפער בין סריקה אוטומטית של האינטרנט לבין ניצול מוצלח מצטמצם לכמה דקות עבודה.

מה עושים?

1. שדרגו את NAKIVO Backup & Replication לגרסה 11.0.0.88174 ומעלה. הגרסאות והשינויים מרוכזים בהערות הגרסה של NAKIVO.

2. החליפו את פרטי האימות ששמורים בשרת הגיבוי, ואל תדלגו על הצעד הזה גם אם שדרגתם. שדרוג סוגר את הדרך לקרוא את הקובץ, הוא אינו מבטל סיסמה שכבר נקראה. זה נוגע לחשבונות שבהם הגיבוי מתחבר לשרתים, לסביבות הווירטואליזציה ולאחסון.

3. בדקו מי בכלל יכול להגיע לממשק. החולשה מופעלת בבקשה מהרשת בלי אימות, ולכן כל צמצום של החשיפה מוריד ישירות את מספר מי שיכול לנסות. שרת גיבוי אינו צריך להיות נגיש מהאינטרנט הפתוח.

4. חפשו ביומני השרת בקשות אל /c/router שמזכירות getImageByPath, במיוחד כאלה שקדמו לשדרוג. זה החתימה הישירה של ניסיון ניצול, וזה גם מה שיגיד לכם אם הצעד השני הוא זהירות או תגובה לאירוע.