Brocade Fabric OS היא מערכת ההפעלה של מתגי ה-SAN של ברוקייד, הציוד שמחבר שרתים למערכי אחסון. מגרסה 9.1.0 הוסרה ממנה גישת root, ולפי הרשומה דווקא בגרסאות 9.1.0 עד 9.1.1d6 משתמש מקומי עם הרשאת admin יכול בכל זאת להריץ קוד עם הרשאות root מלאות. הציון הוא 8.6, ו-CISA רשמה את החולשה כמנוצלת בשטח ב-28 באפריל 2025.
מה החולשה?
root הוא חשבון העל במערכות מבוססות יוניקס, זה שאין לו מגבלות. ההסרה שלו ממערכת ההפעלה של המתגים נעשתה בכוונה: ציוד תשתית אמור לאפשר ניהול של הציוד, לא גישה חופשית למערכת ההפעלה שמתחתיו. מנהל אמור להגדיר את המתג, לא לפתוח בו מעטפת ולעשות בה מה שהוא רוצה.
החולשה מבטלת את ההפרדה הזאת. הרשומה מסמנת אותה כהזרקת קוד, כלומר מצב שבו קלט שהמערכת מצפה לו כנתון מתפרש אצלה כהוראה. מי שיש לו הרשאת admin יכול להעביר דרך אחד המסלולים הלגיטימיים תוכן שירוץ, וכך לחצות את הגבול שהסרת ה-root הייתה אמורה לשמור.
שווה לשים לב למה שהחולשה הזאת אינה. היא אינה מכניסה זר פנימה. הווקטור מדבר על פנייה מהרשת הסמוכה ודורש הרשאות קיימות, כלומר התוקף כבר מנהל את המתג. מה שהיא כן נותנת הוא את ההבדל בין מי שמנהל את הציוד לבין מי ששולט בכל מה שרץ עליו.
זה הבדל גדול בהרבה ממה שהוא נשמע.
מי מושפע?
לפי הרשומה, Brocade Fabric OS בגרסאות מ-9.1.0 ועד 9.1.1d6. הגרסה שסוגרת היא 9.1.1d7.
מתגי SAN אינם ציוד שנמצא בבית או במשרד קטן. הם יושבים בחדרי שרתים, ליד מערכי האחסון, ומי שנוגע בהם הוא צוות תשתיות. בישראל מדובר במרכזי מחשבים של ארגונים גדולים ושל ספקי אירוח. אם המילה SAN אינה חלק מהיום שלכם, העמוד הזה כנראה אינו עליכם.
האם מנוצלת בפועל?
כן, לפי CISA. ב-28 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-19 במאי 2025.
הרשומה אינה מצרפת דיווח שמתאר קמפיין מסוים, כך שמה שידוע כאן הוא עצם הרישום בקטלוג ולא סיפור של תקיפה. חולשה שדורשת הרשאות קיימות משמשת בדרך כלל כחוליה בשרשרת, אחרי שהתוקף כבר הגיע פנימה בדרך אחרת.
מה עושים?
1. עדכנו ל-Fabric OS 9.1.1d7 או מאוחר יותר. הודעת האבטחה של Broadcom היא ההפניה הרשמית, וגרסת המערכת מוצגת בממשק הניהול של המתג.
2. עברו על רשימת מי שיש לו admin על המתגים. הניצול מתחיל מההרשאה הזאת, ולכן כל חשבון admin מיותר הוא כאן חשיפה ממשית ולא הערת ביקורת.
3. הפרידו את רשת הניהול. הווקטור מדבר על פנייה מהרשת הסמוכה, ולכן מתג שממשק הניהול שלו יושב באותה רשת שבה יושבים משתמשים רגילים חשוף הרבה יותר ממתג שממשק הניהול שלו ברשת נפרדת.
4. אם המתגים בטווח ואי אפשר לעדכן מיד, תעדו מי מתחבר אליהם ומתי. עד לעדכון, מעקב אחרי ההתחברויות הוא מה שנשאר.