בשלושת מוצרי העברת הקבצים של Cleo, Harmony, VLTrader ו-LexiCom, אפשר היה להעלות קבצים לשרת ולהוריד ממנו קבצים בלי שההרשאה לכך נבדקת. לפי הרשומה המצב הזה עלול להוביל להרצת קוד מרחוק. הציון הוא 9.8 מתוך 10, התיקון הוא 5.8.0.21, ומדצמבר 2024 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

שרת שמקבל קבצים צריך לשאול שלוש שאלות על כל קובץ: מי שולח אותו, לאן מותר להניח אותו, ומה מותר שיהיה בתוכו. הרשומה אומרת שההעלאה כאן אינה מוגבלת, כלומר השאלות האלה לא נשאלו. הסיווג הוא CWE-434.

קובץ שנכתב לשרת אינו מזיק בפני עצמו. מה שהופך אותו למסוכן הוא המקום שבו הוא נוחת: אם הוא מגיע לתיקייה שהשרת מריץ ממנה, או שרכיב אחר קורא ממנה, הקובץ אינו עוד נתון אלא הוראה. זאת הדרך שבה העלאה בלי הגבלה הופכת להרצת קוד.

והצד השני של החולשה מוסיף לה ממד נוסף. הרשומה מציינת שגם ההורדה אינה מוגבלת, כלומר אפשר גם למשוך מהשרת קבצים. בשרת שכל תפקידו להחזיק קבצים שעוברים בין ארגונים, היכולת לקרוא אותם היא כבר הנזק עצמו, עוד לפני שמישהו הריץ משהו.

הציון 9.8 מגיע מכך שהחולשה אינה מציבה תנאי מקדים: אין הזדהות, אין הרשאה, ואין צורך בשיתוף פעולה של אף אחד.

מי מושפע?

הרשומה מונה את שלושת המוצרים, Harmony, VLTrader ו-LexiCom, בכל גרסה שקודמת ל-5.8.0.21.

מוצרים כאלה אינם מחזיקים רק את הנתונים של הארגון שמפעיל אותם. הם צומת: קבצים של לקוחות, של ספקים ושל שותפים עוברים בהם, ולעיתים נשארים בהם זמן מה. לכן חולשה שמאפשרת לקרוא קבצים מהשרת אינה נעצרת בגבול של ארגון אחד.

בישראל הם יושבים אצל גופים פיננסיים, חברות לוגיסטיקה, בתי תוכנה וארגונים עם שרשרת ספקים מתוכנתת. המשתמש הפרטי אינו פוגש את המוצר בשמו.

ואם אתם מפעילים אחד מהם, שווה לדעת גם מה יושב עליו כרגע. היקף החשיפה כאן נמדד בקבצים שנמצאים על השרת, ולא רק בגרסה שמותקנת עליו.

האם מנוצלת בפועל?

כן. ב-13 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח, עם מועד תיקון לגופים הפדרליים ב-3 בינואר 2025.

הרשומה עצמה פורסמה ב-NVD כבר ב-28 באוקטובר 2024, כחודש וחצי לפני הכניסה לקטלוג. היצרן מתעד את החולשה ואת הגרסה שסוגרת אותה בהודעת האבטחה שלו.

מה עושים?

1. עדכנו לגרסה 5.8.0.21 או חדשה יותר בכל אחד מהמוצרים שרץ אצלכם. בדקו כל התקנה בנפרד: ארגון שמריץ גם Harmony וגם VLTrader מתחזק שתי התקנות, ולא תמיד באותו קצב.
2. עברו על הקבצים שיושבים על השרת וקבעו מה מהם היה חשוף. חולשה שמאפשרת גם הורדה הופכת כל קובץ שהיה שם לקובץ שצריך להניח שאפשר היה לקרוא אותו, וזו עבודה נפרדת מהתקנת העדכון.
3. חפשו קבצים שנוספו ואינכם מזהים, במיוחד בתיקיות שמהן השרת מריץ או קורא. זו הדרך שבה העלאה בלי הגבלה הופכת להרצת קוד, ולכן שם גם נראים הסימנים.
4. הגבילו את הגישה לשרת לכתובות של השותפים שאיתם אתם באמת עובדים. מוצר שתפקידו לקבל קבצים מבחוץ אינו חייב לקבל אותם מכל כתובת באינטרנט.
5. ואם עברו שם קבצים של לקוחות או של ספקים, בדקו מה חובת הדיווח שלכם כלפיהם. במוצר שהוא צומת בין ארגונים, חשיפה אצלכם אינה רק עניין שלכם.