Aviatrix Controller הוא הרכיב שמנהל את רשת הענן של ארגון, זה שקובע איך התעבורה זורמת בין החשבונות והאזורים. יש בו חולשה שמאפשרת למי שאינו מזוהה כלל להריץ עליו קוד משלו, דרך פנייה רגילה ל-API. הציון הוא 10 מתוך 10, המקסימום, ומינואר 2025 החולשה רשומה כמנוצלת בפועל.
מה החולשה?
כשתוכנה צריכה לבצע פעולה במערכת ההפעלה, היא לעיתים מרכיבה שורת פקודה ומעבירה אותה למעטפת, אותו מתורגמן שמריץ פקודות. אם חלק מהשורה מגיע מערך שהמשתמש שלח, צריך לנטרל קודם את התווים שיש להם משמעות מיוחדת במעטפת. תו כמו נקודה-פסיק אומר למעטפת שהפקודה נגמרה ומתחילה חדשה, ולכן מי שמצליח להכניס אותו לשורה אינו מוסיף נתון אלא פקודה.
כאן, לפי הרשומה, הנטרול הזה חסר, ואפשר לשלוח תווים מיוחדים של המעטפת ישר אל השורה. הרשומה מסמנת את זה כ-CWE-78, והתוצאה שהיא מנסחת היא הרצת קוד שרירותי בלי הזדהות.
ומה שמייחד את הרשומה הזאת הוא שהיא נוקבת בכתובת ובשמות המדויקים. הפנייה היא אל /v1/api, והערכים שדרכם זה עובד הם cloud_type בפעולה list_flightpath_destination_instances, או src_cloud_type בפעולה flightpath_connection_test. זה פרט שימושי למי שבודק יומני גישה אחורה.
הדירוג אומר שהתקיפה מגיעה מהרשת, שהמורכבות נמוכה, שאין צורך בפרטי אימות ושאין צורך בפעולה של אף אחד. הוא גם מסמן שההשפעה חורגת מגבולות הרכיב הפגיע, וזה הגיוני במוצר מהסוג הזה.
מי מושפע?
הרשומה מונה שני טווחים: כל מה שקודם ל-7.1.4191, וכן ענף 7.2 בכל מה שקודם ל-7.2.4996. הגרסאות שסוגרות את החולשה הן אותן שתיים.
זה מוצר של צוותי תשתית ענן, ולכן לגולש הפרטי אין כאן דבר. בישראל הוא נוגע לארגונים שמריצים תשתית בכמה ספקי ענן ומנהלים את החיבור ביניהם דרך הרכיב הזה.
ושווה לעצור על מה שהרכיב הזה הוא, כי זה מה שקובע את גודל הנזק. בקר שמנהל רשת ענן מחזיק הרשאות אל חשבונות הענן עצמם, והוא זה שקובע לאן תעבורה הולכת. הרצת קוד עליו אינה נגמרת במכונה אחת, אלא בנקודה שמשם אפשר להגיע פנימה ולשנות את מה שמחבר את הסביבה כולה.
האם מנוצלת בפועל?
כן. ב-16 בינואר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד תיקון של 6 בפברואר 2025 לרשויות הפדרליות בארצות הברית.
הרשומה פורסמה ב-8 בינואר 2025, והכניסה לקטלוג הייתה שמונה ימים אחר כך. הניתוח הטכני של החולשה פורסם באתר securing.pl, והקטלוג עצמו אינו מפרט מי ניצל אותה.
מה עושים?
עדכנו ל-7.1.4191, או ל-7.2.4996 אם אתם על ענף 7.2. אלה הגרסאות שהרשומה מציינת כמתקנות, והיצרן מפרסם את הפרטים בדף התראות האבטחה שלו.
במקביל, בדקו מי יכול להגיע ל-API של הבקר. חולשה שאינה דורשת הזדהות מסוכנת בדיוק במידה שבה הרכיב נגיש, ובקר ניהול אינו רכיב שצריך להיות פתוח לאינטרנט הרחב. צמצום הגישה אליו לרשת הניהול בלבד מוריד את החשיפה גם לחולשות הבאות.
ואם הבקר שלכם רץ בגרסה חשופה והיה נגיש, התייחסו אליו כאל רכיב שייתכן שנגעו בו. זה אומר שני דברים. הראשון, לעבור על יומני הגישה ולחפש פניות ל-/v1/api עם הפעולות שהרשומה מונה. השני, וחשוב יותר: הרצת קוד על הבקר חושפת את פרטי הגישה שהוא מחזיק אל חשבונות הענן, ולכן יש להחליף אותם ולעבור על יומני הביקורת של הענן עצמו ולחפש פעולות שלא אתם עשיתם.