Cityworks היא מערכת לניהול נכסים ועבודות של רשויות מקומיות ותאגידי תשתית, הסוג של מערכת שמנהל בה מישהו קווי מים, הזמנות עבודה והיתרים. בחולשה הזאת משתמש שיש לו חשבון במערכת יכול להריץ קוד על שרת האינטרנט מסוג IIS שמריץ אותה. הציון הוא 8.6, והחולשה נכנסה לקטלוג החולשות המנוצלות של CISA בפברואר 2025.
מה החולשה?
כשמערכת שולחת נתונים בין חלקיה, לפעמים היא לא שולחת רק את הערכים אלא גם את ההוראות לטיפול בהם: לא רק "השם הוא כזה וכזה" אלא "זה מבנה מסוג כך וכך, הרכב אותו בחזרה". הצד המקבל קורא את התיאור הזה ובונה ממנו מחדש את המבנה.
הבעיה היא שהתיאור הזה מגיע מבחוץ, והצד המקבל סומך עליו. תוקף שמחליף את התיאור שולט לא בנתונים אלא בשאלה מה בדיוק ייבנה אצל השרת, ויש מבנים שהבנייה שלהם כשלעצמה גורמת לקוד לרוץ. לתבנית הזאת קוראים שחזור אובייקט מנתונים שמקורם אינו מהימן.
מה שמייחד את המקרה הזה הוא היעד. הקוד לא רץ על המכשיר של מי שתקף אלא על שרת ה-IIS של הארגון, השרת שמגיש את המערכת לכל שאר המשתמשים. מי שמגיע לשם מגיע לנקודה שדרכה עוברות העבודות, ההיתרים והנתונים של כולם.
מי מושפע?
לפי הרשומה, Cityworks בכל גרסה מתחת ל-15.8.9 פגיעה, ובמסלול של Cityworks with office companion כל גרסה מתחת ל-23.10 פגיעה גם היא. אלה שתי הגרסאות שבהן זה תוקן.
החולשה דורשת חשבון במערכת, כלומר משתמש מזוהה ולא אלמוני מהאינטרנט. זה מצמצם את מי שיכול לנסות, והוא גם מה שמעביר את השאלה המעשית ממקום אחד לאחר: לא "האם אנחנו חשופים לרשת" אלא "למי יש חשבון אצלנו".
בישראל זה לא מוצר שהציבור פוגש בשמו. מי שפוגש אותו הם עובדי רשויות וגופי תשתית שעובדים בתוכו, ומי שצריך לפעול כאן הוא מי שמתחזק את המערכת בגוף כזה. לשאר הקוראים זה עמוד הסבר ולא קריאה לפעולה.
האם מנוצלת בפועל?
כן. החולשה נוספה ב-7 בפברואר 2025 לקטלוג ה-KEV של CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד שנקבע לגופים הפדרליים בארצות הברית לתיקון היה 28 בפברואר 2025.
פרט אחד בהתראה אומר משהו על סוג המערכות שמדובר בהן: CISA פרסמה עליה הודעה בערוץ ההתראות שלה למערכות בקרה תעשייתיות, ולא רק את הרשומה בקטלוג. זה הערוץ שמיועד לגופים שמפעילים תשתית פיזית.
מה עושים?
בדקו את מספר הגרסה. אם אתם מתחת ל-15.8.9, או מתחת ל-23.10 במסלול של office companion, אתם בטווח הפגיע ויש לאן לעדכן.
עדכנו לגרסה המתוקנת לפי ההודעה של Trimble ללקוחות, ובמקביל קראו את ההתראה של CISA למערכות בקרה, שמנוסחת לקהל שמפעיל מערכות כאלה.
מכיוון שהחולשה מצריכה חשבון, עברו על רשימת המשתמשים. חשבונות של ספקים וקבלנים חיצוניים, חשבונות של עובדים שסיימו וחשבונות משותפים הם המקום שבו התנאי הזה מתקיים בפועל, ולא תמיד בידיעת מי שמנהל את המערכת.
ואחרי העדכון, הסתכלו על השרת ולא רק על התוכנה. היעד של החולשה הוא שרת ה-IIS, ולכן אם המערכת רצה זמן מה בגרסה פגיעה, השאלה מה רץ על השרת הזה היא שאלה נפרדת מהשאלה אם התוכנה מעודכנת.