במערכת VeraCore של Advantive, משתמש שהתחבר יכול להעלות קובץ דרך הדף upload.aspx ולהנחית אותו בתיקיות שלא נועדו לקבל העלאות, כולל כאלה שגולשים אחרים מגיעים אליהן בדפדפן. הציון הוא 9.9 מתוך 10, והחולשה נמצאת בקטלוג החולשות המנוצלות של CISA מאז 10 במרץ 2025. הגרסה שסוגרת אותה היא 2024.4.2.1.
מה החולשה?
מנגנון העלאה תקין מחליט בעצמו שני דברים: לאן הקובץ הולך ומה מותר להעלות. שתי ההחלטות האלה צריכות להישאר בצד השרת, כי הן בדיוק מה שמונע מקובץ להגיע למקום שבו הוא הופך למשהו אחר. כאן היעד נקבע לפי מה שנשלח בבקשה, ולכן המעלה יכול לכוון את הקובץ לתיקייה לפי בחירתו.
למה זה משנה איפה הקובץ נוחת? כי קובץ שיושב בתיקייה שהשרת מגיש ממנה תוכן אינו עוד קובץ במערכת הקבצים, הוא כתובת שאפשר לפנות אליה מהדפדפן. ואם הסוג שלו הוא סוג שהשרת מריץ ולא רק מגיש, הפנייה לכתובת הזאת מריצה את התוכן שלו. כך הופכת העלאה לדריסת רגל קבועה על השרת. ברשומה זה מסומן CWE-434, העלאת קובץ מסוכן בלי הגבלה.
הדירוג הגבוה כאן נובע מצירוף של רף כניסה נמוך ותוצאה מלאה. הווקטור מסמן שנדרשות הרשאות, אבל נמוכות בלבד, כלומר חשבון רגיל במערכת ולא חשבון מנהל. מנגד הוא מסמן פגיעה גבוהה בסודיות, בשלמות ובזמינות גם יחד, ומסמן את היקף התקיפה כמשתנה, כלומר הנזק חורג מהרכיב שבו נמצאה החולשה. חשבון פשוט שמוביל לשליטה רחבה הוא מה שמייצר 9.9.
מי מושפע?
מדובר ב-Advantive VeraCore בכל גרסה שלפני 2024.4.2.1.
זו תוכנה עסקית שמופעלת כיישום אינטרנט בתוך ארגון, ולא משהו שהגולש הפרטי נתקל בו. לכן אין כאן משימה לקורא הביתי, ומי שצריך לפעול הוא הארגון שמריץ אצלו התקנה של VeraCore, או ספק ה-IT שמתחזק אותה בשבילו.
נקודה אחת כן שווה לארגון כזה: מכיוון שהחולשה דורשת חשבון, השאלה הראשונה אינה רק מי מחוץ לארגון יכול להגיע למערכת, אלא גם כמה חשבונות קיימים בה, מי מחזיק אותם והאם כולם עדיין צריכים להיות פעילים.
האם מנוצלת בפועל?
כן. ב-10 במרץ 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שמרכז חולשות שנצפה בהן שימוש בתקיפות אמיתיות, והמועד שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול היה 31 במרץ 2025.
הרשומה מפנה לשני מחקרים, של Intezer ושל Solis Security, שעוסקים בקבוצה שמסומנת XE Group ובשימוש שלה בחולשות יום-אפס. שווה לשים לב למה שזה אומר על העיתוי: הרשומה פורסמה בפברואר 2025 והחולשה נכנסה לקטלוג המנוצלות חודש אחר כך, כלומר הידיעה על הניצול הגיעה מהשטח ולא מהודעה מסודרת של היצרן.
מה עושים?
1. שדרגו את VeraCore לגרסה 2024.4.2.1 ומעלה. הערות הגרסה של Advantive מרכזות את הפרטים.
2. חפשו קבצים שכבר נשתלו, ואל תסתפקו בשדרוג. שדרוג מונע העלאה חדשה, הוא אינו מוחק קובץ שהועלה קודם. עברו על התיקיות שהשרת מגיש מהן וחפשו קבצים שאתם לא מכירים, במיוחד כאלה שהשרת יריץ, ולכו לפי תאריך השינוי כדי לצמצם את החיפוש.
3. עברו על החשבונות במערכת. החולשה מחייבת התחברות, ולכן כל חשבון מיותר או נשכח הוא כרטיס כניסה. סגרו מה שלא בשימוש והחליפו סיסמאות לשאר.
4. בדקו מי יכול להגיע אל המערכת מלכתחילה. התקנה שנגישה מהאינטרנט הפתוח מגדילה מאוד את מספר מי שיכול לנסות להשיג חשבון, וצמצום הגישה ברמת הרשת עוזר גם לחולשה הבאה שתתגלה בה.