Output Messenger הוא שרת צ'אט ארגוני שמותקן אצל הארגון עצמו. לפי הרשומה, גרסאות שלפני 2.0.63 מאפשרות לפנייה מהרשת לקרוא קבצים שנמצאים מחוץ לתיקייה שיועדה לכך, בלי שום הזדהות. הציון הוא 7.2, מיקרוסופט מתארת ניצול של החולשה כיום אפס לצורכי ריגול, ו-CISA רשמה אותה כמנוצלת בשטח במאי 2025.

מה החולשה?

שרת שמגיש קבצים מקבל בפנייה שם של קובץ ומחבר אותו לנתיב של תיקייה שהוגדרה מראש. כל עוד השם הוא באמת שם של קובץ, הכול בסדר. הבעיה מתחילה כשאפשר לכתוב בתוכו את הרצף של שתי נקודות ולוכסן, שמשמעותו במערכת הקבצים היא תיקייה אחת למעלה.

מי שמשרשר את הרצף הזה מספיק פעמים מטפס החוצה מהתיקייה שיועדה לו ומגיע לכל מקום שתהליך השרת רשאי לקרוא ממנו. לטכניקה הזאת קוראים Path Traversal, והתיקון שלה הוא תמיד אותו דבר: לבדוק את השם שהתקבל לפני שמשתמשים בו, במקום לסמוך עליו.

הרשומה מציינת שני פרטים שקובעים כמה זה חמור. הראשון, הפנייה אינה דורשת הזדהות כלל. השני, מה שנחשף אינו קבצים אקראיים אלא, בלשון הרשומה, קבצים רגישים והדלפה של תצורה. קובץ תצורה של שרת הוא בדרך כלל המקום שבו יושבים פרטי אימות ומפתחות, ולכן דליפה שלו שווה הרבה יותר מהקובץ עצמו.

מה שכן, הווקטור מסמן פגיעה מוגבלת בסודיות ובשלמות ולא מלאה. החולשה הזאת לבדה אינה שקולה להשתלטות על השרת, היא צעד ראשון.

מי מושפע?

לפי הרשומה, Output Messenger של חברת Srimax בכל גרסה שלפני 2.0.63. הגרסה שסוגרת היא 2.0.63.

זה מוצר נישה. ארגונים בוחרים בו כשהם רוצים צ׳אט פנימי שרץ על שרת שלהם במקום על שירות ענן, לרוב משיקולי רגולציה או מדיניות. משתמש פרטי בישראל אינו נתקל בו, וארגון שכן מפעיל אותו בדרך כלל יודע היטב שהוא שם. אם השם הזה אינו מוכר לכם, העמוד הזה כנראה אינו עליכם.

האם מנוצלת בפועל?

כן, ובאופן ממוקד. הרשומה מצרפת פרסום של מיקרוסופט שמתאר ניצול של החולשה כיום אפס, כלומר עוד לפני שהיה לה תיקון, בידי קבוצה שמיקרוסופט מכנה Marbled Dust, לצורכי ריגול אזורי. הייחוס הזה הוא של מיקרוסופט, לא של הרשומה.

ב-19 במאי 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-9 ביוני 2025.

ריגול ממוקד אומר משהו גם על מי שנפגע. זו אינה סריקה רחבה שמחפשת כל שרת חשוף, אלא מטרות נבחרות.

מה עושים?

1. עדכנו ל-2.0.63 או מאוחר יותר. דף היצרן על החולשה הזאת הוא ההפניה הרשמית, וגרסת השרת מופיעה בממשק הניהול.

2. התייחסו לתוכן קבצי התצורה כאל תוכן שדלף. הרשומה מצביעה במפורש על הדלפת תצורה, ולכן החליפו סיסמאות ומפתחות ששמורים שם במקום להניח שאיש לא הגיע אליהם.

3. בדקו אם השרת היה נגיש מהאינטרנט, וצמצמו אותו לרשת הפנימית או לחיבור VPN. הרשומה קובעת שאין צורך בהזדהות, כך שכל מי שהגיע אליו ברשת יכול היה לנסות.

4. חפשו בלוגים פניות שמכילות את הרצף של שתי נקודות ולוכסן. זו החתימה הפשוטה ביותר של ניסיון כזה, והיא נשארת בתיעוד גם כשהניסיון נכשל.

5. אם אתם בטווח, קראו את הדיווח של מיקרוסופט. פעילות ממוקדת מתועדת שם עם סימנים שאפשר לחפש אצלכם, ולא רק עם תיאור כללי.