במוצרי העברת הקבצים של Cleo יש מנגנון שנקרא Autorun: תיקייה שכל מה שמגיע אליה מורץ אוטומטית. לפי הרשומה, בהגדרות ברירת המחדל שלה יכול תוקף שלא הזדהה כלל לייבא פקודות Bash או PowerShell ולהריץ אותן על השרת. הציון הוא 9.8 מתוך 10, התיקון הוא 5.8.0.24, ומדצמבר 2024 החולשה רשומה כמנוצלת בפועל.

מה החולשה?

יש סוג של באג שבו שום דבר אינו שבור. התוכנה עושה בדיוק את מה שהוגדר לה לעשות, והבעיה היא מה שהוגדר.

Autorun היא תיקייה שכל תפקידה להריץ: מניחים בה סקריפט, והמערכת מרימה אותו בלי שאדם יבקש. זה קיים כדי לאפשר אוטומציה בהעברות קבצים, למשל לעבד קובץ שהתקבל מספק ולהעביר אותו הלאה. בשביל זה המנגנון נבנה, וכך הוא עובד.

מה שהרשומה אומרת הוא שהגדרות ברירת המחדל של המנגנון הזה מאפשרות למי שלא הזדהה להכניס אליו תוכן. מכאן הדרך קצרה: מה שנכנס לתיקייה רץ, ולכן מי שיכול להכניס לתוכה סקריפט מריץ קוד על המכונה. הסיווג ברשומה הוא CWE-77, והרשומה מציינת במפורש שהפקודות יכולות להיות Bash או PowerShell, כלומר החולשה עובדת גם על התקנה על לינוקס וגם על חלונות.

הציון 9.8 נובע מכך שלא נדרש דבר: לא פרטי אימות, לא הרשאה, ולא פעולה של מישהו בצד השני.

ושווה להבין מה המוצר הזה עושה, כי זה מסביר למה חולשה כזאת שווה כל כך הרבה. Harmony, VLTrader ו-LexiCom הם מוצרים להעברת קבצים מנוהלת: ארגונים מעבירים דרכם קבצים אל ספקים, לקוחות ובנקים. כלומר הם נגישים מבחוץ מעצם תפקידם, והקבצים שעוברים בהם הם בדיוק אלה שהארגון לא היה שולח בדואר רגיל.

מי מושפע?

הרשומה מונה שלושה מוצרים, Harmony, VLTrader ו-LexiCom, בכל גרסה שקודמת ל-5.8.0.24.

בישראל אלה מוצרים שיושבים בארגונים שמעבירים קבצים בכמות ובאופן מתוכנת: בתי תוכנה, גופים פיננסיים, חברות לוגיסטיקה וארגונים עם שרשרת ספקים. הגולש הפרטי אינו מתקין מוצר כזה ואינו נתקל בשמו, אבל נתונים שלו עלולים לעבור דרך אחד כזה אצל ארגון שהוא לקוח שלו.

מי שצריך לפעול הוא מי שמתחזק את השרת. ואם אינכם יודעים אם מוצר כזה רץ אצלכם, כדאי לבדוק דווקא מפני ששרתי העברת קבצים מותקנים לעיתים בידי צוות אחד ונשכחים אצל צוות אחר.

האם מנוצלת בפועל?

כן. ב-17 בדצמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים משתמשים בהן בפועל, עם מועד תיקון לגופים הפדרליים ב-7 בינואר 2025. הרשומה פורסמה ב-NVD ב-13 בדצמבר 2024, ארבעה ימים קודם לכן, וזה פער קצר במיוחד.

הניתוח שתיאר את הניצול בשטח פורסם בידי חברת Huntress, והיצרן פרסם את הודעת האבטחה שלו באתר התמיכה.

מה עושים?

1. עדכנו לגרסה 5.8.0.24 או חדשה יותר, בכל אחד משלושת המוצרים שרץ אצלכם. זו הגרסה שהרשומה מסמנת כסוגרת, והפרטים נמצאים בהודעת האבטחה של Cleo.
2. בדקו את ההגדרות של תיקיית ה-Autorun ולא רק את מספר הגרסה. החולשה נשענת על הגדרות ברירת המחדל של המנגנון הזה, ולכן שווה לדעת מה מוגדר אצלכם: מי יכול להכניס לתוכה תוכן, ומה היא מורשה להריץ.
3. הגבילו מי יכול להגיע לשרת מהאינטרנט. מוצר להעברת קבצים חייב להיות נגיש לשותפים שלו, לא לכל כתובת בעולם, ורשימת כתובות מותרות מצמצמת את קהל התוקפים גם לפני שהחולשה הבאה מתפרסמת.
4. ומכיוון שהחולשה מריצה פקודות וכבר נוצלה, אל תסתפקו בעדכון. עברו על התיקייה הזאת וחפשו בה סקריפטים שאינכם מזהים, ובדקו את התהליכים ואת החיבורים היוצאים מהשרת. סקריפט שהונח שם לפני העדכון אינו נעלם כשמתקינים אותו.