Partner Center הוא הפורטל שבו שותפים עסקיים של Microsoft מנהלים את מה שיש להם מול החברה, ובכלל זה לקוחות שהם מוכרים להם רישיונות. בנובמבר 2024 פורסמה בו חולשה בבקרת הגישה, שאפשרה לתוקף להעלות את ההרשאות שלו דרך הרשת. הציון הוא 8.7 מתוך 10, ו-CISA סימנה אותה כחולשה שנוצלה בשטח.

הרשומה הזאת יוצאת דופן בסעיף אחד: אין בה גרסאות, כי אין מה לעדכן.

מה החולשה?

בכל מערכת שמשרתת יותר ממשתמש אחד יש שלב שבודק, לפני כל פעולה, אם מי שביקש אותה מורשה לבצע אותה. הבדיקה הזאת אינה אותו דבר כמו ההזדהות. ההזדהות עונה על השאלה מי אתה, והבדיקה הזאת עונה על השאלה מה מותר לך. כשהשנייה חסרה או רפויה, מי שהזדהה כמשתמש רגיל יכול לבקש פעולה שנועדה למי שמעליו ולקבל אותה.

הרשומה מסמנת את החולשה כ-CWE-269, ניהול לקוי של הרשאות, ומתארת בקרת גישה שאינה נאותה בפורטל. מעבר לזה היא אינה מפרטת איזה מסך או איזו פעולה היו פגיעים.

ויש בה גם אי התאמה שכדאי לדעת עליה. הטקסט של הרשומה אומר שהתוקף אינו מזוהה, ואילו דירוג ה-CVSS שבאותה רשומה עצמה מציין שנדרשת הרשאה נמוכה וגם פעולה של משתמש אחר. שני התיאורים אינם מסתדרים זה עם זה, ואי אפשר לדעת מהרשומה לבד מי מהם מדויק. כשמקור אחד אומר שני דברים, שווה לומר את זה במקום לבחור את הגרסה הנוחה.

מה שהדירוג כן אומר בבירור הוא שהנזק חורג מהרכיב שבו התחיל, ושהפגיעה בסודיות ובשלמות גבוהה בעוד הזמינות אינה נפגעת. כלומר לראות ולשנות, לא להפיל.

מי מושפע?

הרשומה מונה מוצר אחד, Partner Center, ואינה מונה שום גרסה. זה אינו חוסר במידע אלא טבעו של הדבר: מדובר בשירות ווב שמופעל על ידי Microsoft, ולא בתוכנה שמותקנת אצל הלקוח. לכן אין רשימה של גרסאות חשופות ואין רשימה של גרסאות מתוקנות.

בישראל זה נוגע לקהל מוגדר: חברות שהן שותפות של Microsoft, בהן משווקים, אינטגרטורים וספקי שירותי IT שמנהלים דרך הפורטל את הלקוחות שלהם. לגולש הפרטי אין כאן דבר, וגם ארגון שרק צורך שירותי Microsoft ואינו שותף שלה אינו נכנס לפורטל הזה מעולם.

האם מנוצלת בפועל?

כן. החולשה נכנסה ב-25 בפברואר 2025 לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמרכז חולשות שידוע שתוקפים משתמשים בהן בפועל. מועד התיקון שנקבע לרשויות הפדרליות בארצות הברית היה 18 במרץ 2025.

מועד תיקון על חולשה בשירות ענן הוא דבר מוזר במקצת, כי הגוף שקיבל אותו אינו הגוף שמתקן. מה שנשאר בידיו, ובידי כל שותף אחר, הוא הצד שכן בשליטתו: מי מהאנשים שלו מחובר לפורטל ובאילו הרשאות.

מה עושים?

הצעד הראשון הוא לדעת שאין מה להתקין. החולשה נמצאת בשירות של Microsoft והתיקון נעשה שם. הדף הרשמי שלה נמצא במרכז העדכונים של Microsoft, וזה המקום לראות מה החברה עצמה מפרסמת עליה.

הצעד השני כן שלכם. החולשה היא בבקרת גישה ובהסלמת הרשאות, ולכן שווה לעבור על מי שיש לו גישה ל-Partner Center מטעם הארגון: הסירו חשבונות של עובדים שעזבו, והורידו הרשאות ממי שקיבל אותן לצורך מסוים שהסתיים מאז.

הצעד השלישי הוא להסתכל אחורה. אם אתם שותפים שמנהלים לקוחות דרך הפורטל, עברו על הפעולות שנעשו בחשבון השותף שלכם ובדקו שכולן מוכרות לכם. הסלמת הרשאות בשירות של מישהו אחר אינה משאירה סימן אצלכם בשרת, אלא רק בפעולות שנעשו דרך הפורטל.