SL1 של ScienceLogic, שנקראה בעבר EM7, היא פלטפורמת ניטור שארגונים גדולים וספקי שירות מריצים כדי לראות ממקום אחד את מצב כל התשתית שלהם. באוקטובר 2024 נרשמה בה חולשה בציון 9.3 מתוך 10, היא נכנסה לקטלוג החולשות שידוע על ניצולן בפועל, והרשומה עצמה אינה אומרת מה היא. זה החלק החריג כאן, והוא גם מה שצריך להכתיב את הטיפול.
מה החולשה?
הרשומה ב-NVD מתארת חולשה לא מפורטת ברכיב צד שלישי לא מפורט שנכלל באריזה של SL1. כלומר שני הפרטים שבדרך כלל ממלאים את הדף הזה, מה הבאג ואיפה הוא יושב, לא פורסמו: לא סוג החולשה, לא שם הרכיב, ולא הדרך שפונים בה אליה. גם שדה סוג החולשה ברשומה נשאר ריק.
מה שכן אפשר לקרוא הוא הווקטור, וכאן כדאי לקרוא אותו לאט. הוא נכתב בתקן CVSS 4.0 וקובע שהפנייה מגיעה מהרשת, שהמורכבות נמוכה, שאין דרישות מוקדמות, שלא נדרשות הרשאות ולא נדרשת פעולה של אף אדם, וששלושת סוגי הנזק למערכת שנפגעת, סודיות שלמות וזמינות, גבוהים. בעברית פשוטה: מי שמגיע אל השרת מהרשת, בלי להזדהות, יכול להשתלט על מה שרץ עליו.
הניסוח רכיב צד שלישי שנכלל באריזה שווה גם הוא תרגום. מוצר תוכנה גדול מגיע עם ספריות ורכיבים שהיצרן שלו לא כתב אלא רק אירז יחד עם המוצר. חולשה באחד מהם היא חולשה של המוצר לכל דבר מבחינת מי שמריץ אותו, גם אם היא לא נכתבה אצל היצרן, והיא נסגרת רק כשהיצרן מוציא גרסה שמחליפה את הרכיב.
מי מושפע?
הרשומה מונה שני טווחי גרסאות: מ-10.1.0 ועד לפני 12.1.3, ומ-12.2.0 ועד לפני 12.2.3. התיקון נמצא ב-12.1.3 ומעלה, ב-12.2.3 ומעלה וב-12.3 ומעלה. היצרן מציין שהועמדו תיקונים גם לקווי הגרסאות הישנים יותר, 10.1.x, 10.2.x, 11.1.x, 11.2.x ו-11.3.x, כך שמי שרחוק מגרסה עדכנית אינו תקוע בלי פתרון.
זה אינו מוצר שמגיע לבית או לעסק קטן. SL1 יושבת אצל מי שמנטר תשתית בקנה מידה גדול: ספקי שירותי IT מנוהלים, חברות אירוח וארגונים גדולים. בישראל מדובר במספר מצומצם של גופים, ולרוב קוראי האתר הדף הזה אינו משימה.
מה שכן אומר משהו לכל אחד הוא מה שפלטפורמת ניטור היא מעצם תפקידה: מערכת שמחזיקה גישה אל כל השרתים שהיא מנטרת, ואת פרטי ההתחברות אליהם. השתלטות עליה אינה השתלטות על מכונה אחת.
האם מנוצלת בפועל?
כן. ב-21 באוקטובר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שנאספה עליהן ראיה לכך שתוקפים משתמשים בהן בשטח, עם מועד תיקון לגופים הפדרליים ב-11 בנובמבר 2024.
שימו לב לסדר הדברים. הרשומה ב-NVD פורסמה ב-18 באוקטובר, הכניסה לקטלוג הייתה שלושה ימים אחר כך, והפירוט לא הגיע גם אחרי זה. הידיעה שתוקפים משתמשים בחולשה הגיעה כמעט יחד עם הידיעה שהיא קיימת.
זה גם מה שקובע את אופן הטיפול. אין כאן מספיק מידע כדי להעריך סיכון ולהחליט אם להמתין, ויש גרסה לעדכן אליה.
מה עושים?
עדכנו את SL1 לגרסה שכוללת את התיקון: 12.1.3 ומעלה, 12.2.3 ומעלה או 12.3 ומעלה. אם אתם על קו גרסאות ישן יותר, מ-10.1.x ועד 11.3.x, פנו ליצרן ובקשו את התיקון שהועמד לקו שלכם במקום להמתין לשדרוג גדול. הפרטים מופיעים בעדכון של ScienceLogic.
כל עוד לא עודכנתם, הצעד המעשי הוא לצמצם מי מגיע אל הממשק: השאירו אותו נגיש מהרשת הפנימית או דרך VPN בלבד, ולא מהאינטרנט. הווקטור אומר שהפנייה מגיעה מהרשת ובלי הזדהות, ולכן ההגבלה הזאת היא מה שיש בהיעדר תיקון.
ומכיוון שמדובר במערכת שמחזיקה גישה אל שאר התשתית, אחרי העדכון החליפו את פרטי ההתחברות שהיא שומרת אל המערכות שהיא מנטרת, ואת מפתחות הממשק שלה. חולשה שנוצלה בשטח בזמן שהגרסה שלכם הייתה חשופה היא סיבה מספקת להניח שמה שהיה על המכונה נקרא.