WhatsUp Gold הוא שרת ניטור: הוא יושב ברשת ובודק כל הזמן אם השרתים, המתגים והשירותים סביבו עונים. בגרסאות שלפני 2023.1.3 יש בו חולשה שמאפשרת לתוקף שלא הזדהה כלל להריץ פקודות על השרת עצמו. הציון הוא 9.8 מתוך 10, והחולשה מנוצלת בפועל.
מה החולשה?
כשתוכנה מקבלת שם של קובץ מבחוץ, היא צריכה להניח שמי ששלח אותו לא בהכרח התכוון לשלוח שם של קובץ. הקלט יכול להכיל את הסימון שמשמעותו תיקייה אחת למעלה, וחזרה עליו מספיק פעמים מוציאה את התוכנה מהתיקייה שהוקצתה לה אל שאר מערכת הקבצים. לטכניקה הזאת קוראים Path Traversal, והרשומה מסמנת את החולשה כ-CWE-22, כלומר הגבלה לקויה של נתיב קובץ לתיקייה מסוימת.
הרשומה מצביעה על מקום אחד ומדויק: פונקציה בשירות הייצוא של המוצר בשם GetFileWithoutZip, שתפקידה להחזיר קובץ. לפי הרשומה, דרכה אפשר להריץ פקודות על השרת. את הדרך מנתיב קובץ להרצת פקודה הרשומה אינה מפרטת, והיא גם לא מחויבת לפרט אותה.
מה שהרשומה כן מפרטת הוא באילו הרשאות רצות הפקודות: אלה של חשבון ה-application pool ב-IIS שהממשק של המוצר עובד תחתיו. כלומר לא הרשאות שרירותיות אלא בדיוק אלה שהמוצר עצמו עובד איתן.
הדירוג נותן 9.8 מתוך 10 ומסביר את עצמו: הבקשה מגיעה מהרשת, אינה דורשת הזדהות, אינה דורשת הרשאה, ואינה דורשת שמישהו ילחץ על משהו. הפגיעה גבוהה בסודיות, בשלמות ובזמינות. שרת ניטור הוא יעד נוח במיוחד, כי מעצם תפקידו הוא זה שמדבר עם כל השאר.
מי מושפע?
הרשומה מונה את Progress WhatsUp Gold בכל הגרסאות שלפני 2023.1.3. מהגרסה הזאת והלאה החולשה סגורה.
זה אינו מוצר ביתי, ולכן הגולש הפרטי לא צריך לעשות כאן דבר. בישראל הוא נמצא בארגונים בינוניים וגדולים ובמחלקות IT שמנטרות מהשרת הזה את שאר הרשת. מי שצריך לפעול הוא מי שמתחזק אותו, ובראש התור מי שהממשק שלו נגיש מהאינטרנט ולא רק פנימה.
האם מנוצלת בפועל?
כן. סוכנות הסייבר האמריקאית CISA הכניסה את החולשה ב-3 במרץ 2025 לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע שתוקפים משתמשים בהן בפועל, וקבעה לרשויות הפדרליות בארצות הברית לתקן עד 24 במרץ.
שווה להסתכל על שני התאריכים שברשומה יחד. היא פורסמה ביוני 2024, והכניסה לקטלוג היא ממרץ 2025. שרת שלא עודכן בחלון שביניהם הריץ גרסה פגיעה בתקופה שבה הניצול כבר היה בשטח, וזה שיקול שנוגע גם למה שעושים אחרי העדכון ולא רק לעדכון עצמו.
מה עושים?
עדכנו את WhatsUp Gold לגרסה 2023.1.3 או לחדשה ממנה. הודעת האבטחה של היצרן, עם הפרטים ועם שאר החולשות שתוקנו באותו עדכון, נמצאת באתר הקהילה של Progress.
אם אינכם יודעים באיזו גרסה אתם, זה הדבר הראשון לברר, לפני כל תיאום של חלון תחזוקה.
בזמן שבין הבדיקה לעדכון, בדקו מי יכול להגיע לממשק הווב של המוצר. ממשק שחשוף רק פנימה מקטין מאוד את קהל מי שיכול בכלל לפנות אליו, והחולשה הזאת אינה דורשת מהפונה שום דבר מלבד היכולת לשלוח בקשה.
ואחרי העדכון, מכיוון שהפקודות רצות בהרשאות החשבון שהמוצר עובד תחתיו, עברו על מה שהחשבון הזה יכול להגיע אליו ברשת ובדקו אם משהו שם השתנה.