בדף timeoutWarning.asp במערכת VeraCore של Advantive, הפרמטר PmSess1 מגיע אל מסד הנתונים בלי שסוננו ממנו התווים שמשנים את מבנה השאילתה. תוקף שלא התחבר כלל יכול לנסח בקשה שמריצה שאילתות משלו. הציון הוא 5.8 מתוך 10, נמוך יחסית, והחולשה בכל זאת נמצאת בקטלוג החולשות המנוצלות של CISA מאז 10 במרץ 2025.

מה החולשה?

דף אינטרנט שמושך נתונים בונה שאילתה למסד הנתונים, ומשלב בתוכה ערכים שהגיעו מהמשתמש. כל עוד הערך מועבר כנתון נפרד, הוא נשאר נתון. כשהוא נדבק לטקסט השאילתה, התווים שבתוכו נקראים כחלק מהפקודה עצמה, ותוקף שכותב את הערך בזהירות מוסיף לשאילתה תנאים או שאילתות משלו. לטכניקה הזאת קוראים SQL Injection, הזרקה של פקודות מסד נתונים דרך שדה קלט שלא סונן כראוי, וברשומה היא מסומנת CWE-89.

שווה לשים לב איפה בדיוק היא יושבת. לא בטופס ההתחברות ולא במסך הראשי, אלא בדף שלפי שמו מטפל בהתראה על פקיעת החיבור. זה דף שירות קטן, מהסוג שנכתב פעם אחת ולא נבדק שוב, ובדיוק שם נוטה להיעדר הסינון שהטפסים המרכזיים מקבלים.

עכשיו לציון, כי הוא החלק שהכי קל לקרוא לא נכון. הווקטור מסמן פגיעה נמוכה בסודיות בלבד, ואפס בשלמות ובזמינות. כלומר מה שהרשומה מתארת הוא קריאה של מידע בהיקף מוגבל, לא שינוי של נתונים ולא השבתה של המערכת. מנגד הוא מסמן שלא נדרשת שום התחברות מוקדמת, ושהיקף התקיפה משתנה. הצירוף הזה מייצר 5.8.

ובכל זאת היא בקטלוג המנוצלות, וזה מה שכדאי לקחת מהדף הזה. הקטלוג נקבע לפי מה שתוקפים עושים בשטח, לא לפי גובה הציון. חולשה שאינה דורשת חשבון היא נקודת מגע זמינה לכל מי שמצליח להגיע לדף, וזה שווה בתקיפה אמיתית יותר ממה שהמספר מרמז.

מי מושפע?

כאן יש שני מספרים ברשומה ששווה להציג בנפרד, כי הם לא אומרים בדיוק אותו דבר. התיאור מדבר על VeraCore עד גרסה 2025.1.0 ועד בכלל, ואילו נתוני הגרסאות מציינים שהתיקון נמצא ב-2025.1.1.3. היעד המעשי לשדרוג הוא 2025.1.1.3.

כמו שאר המערכת, מדובר בתוכנה עסקית שרצה כיישום אינטרנט בארגון, ולא במשהו שמותקן במחשב הביתי. מי שצריך לפעול הוא מי שמפעיל התקנה כזאת.

ההבדל המעשי בין החולשה הזאת לאחרות במערכת הוא שכאן אין דרישת התחברות. לכן גם ארגון שסגור היטב מבחינת חשבונות אינו מוגן מעצם זה, והשאלה הרלוונטית היא מי יכול להגיע אל הדף ברמת הרשת.

האם מנוצלת בפועל?

כן. החולשה נכנסה ב-10 במרץ 2025 לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימה של חולשות שידוע שתוקפים מנצלים אותן בשטח, והתאריך שנקבע לגופים הפדרליים האמריקאיים לסיום הטיפול היה 31 במרץ 2025.

הרשומה מפנה למחקרים של Intezer ושל Solis Security, שמתארים קבוצה בשם XE Group ואת השימוש שלה בחולשות יום-אפס.

מה עושים?

1. שדרגו את VeraCore לגרסה 2025.1.1.3 ומעלה. החומר מרוכז במאגר הידע של Advantive.

2. הגבילו ברמת הרשת מי יכול להגיע אל המערכת. מכיוון שלא נדרשת התחברות, זה הצעד היחיד שמקטין את קהל התוקפים לפני השדרוג, והוא רלוונטי במיוחד להתקנה שנגישה מהאינטרנט הפתוח.

3. חפשו ביומני השרת פניות אל timeoutWarning.asp עם ערכים חריגים בפרמטר PmSess1. זו החתימה הישירה של ניסיון ניצול, והיא מה שיקבע אם אתם מטפלים בסיכון או מגיבים לאירוע.

4. אם מצאתם פניות כאלה, התייחסו למידע שהשאילתה יכלה להגיע אליו כאל מידע שנקרא. הדירוג מסמן פגיעה בסודיות, ולכן השאלה שצריך לענות עליה היא מה בדיוק חשוף דרך אותו חיבור למסד הנתונים, ולא רק האם השדרוג בוצע.