Meteobridge הוא התקן קטן שמחבר תחנת מזג אוויר לרשת ומעלה ממנה נתונים. יש לו ממשק ניהול בדפדפן, ובממשק הזה קיימת נקודה שמעבירה קלט של המשתמש הלאה אל מערכת ההפעלה בלי סינון. תוקף שנמצא ברשת ואינו מזוהה יכול להריץ דרכה פקודות בהרשאות root. הציון הוא 8.7, ו-CISA סימנה את החולשה כמנוצלת בשטח.
מה החולשה?
ממשק הניהול של ההתקן כתוב, לפי הרשומה, בסקריפטים של שורת פקודה שרצים כ-CGI ובקוד C. הצורה הזאת נפוצה בהתקנים קטנים כי היא חסכונית במשאבים, והיא גם מזמינה בדיוק את הבעיה שנמצאה כאן: כשסקריפט מעביר קלט של משתמש אל פקודת מערכת, מי ששולט בקלט יכול לשתול בו תווים שמסיימים פקודה אחת ופותחים אחרת. לטכניקה הזאת קוראים command injection.
מה שמעלה את החומרה הוא מי מריץ את התוצאה. הרשומה אומרת במפורש שהפקודות רצות בהרשאות מוגברות, root, ושאין צורך בהזדהות כלל. אין כאן סיסמה לנחש ואין הרשאה להסלים. מי שמגיע אל הממשק מגיע עד הסוף.
נקודה אחת מצמצמת את התמונה: הדירוג מציין רשת סמוכה ולא את האינטרנט הפתוח. התוקף צריך להיות ברשת שממנה ההתקן נגיש.
מי מושפע?
התקני Meteobridge ומכונות Meteobridge VM בגרסאות שלפני 6.2.
וצריך לומר את זה בכנות: זה מוצר נישה. הוא מיועד לחובבי מזג אוויר, לתחנות מדידה פרטיות ולגופים קטנים שאוספים נתונים מטאורולוגיים. בישראל מספר ההתקנים האלה קטן, וסביר שרוב מי שקורא את העמוד הזה אינו מפעיל אחד.
מי שכן מפעיל אותו נמצא בדרך כלל במצב שמגביר את הסיכון ולא מקטין אותו. זה התקן שהותקן פעם, רץ שנים בלי מגע יד אדם, והוא יושב באותה רשת ביתית או משרדית שבה נמצא כל השאר. מי שהגיע לרשת הגיע גם אליו.
האם מנוצלת בפועל?
כן. ב-2 באוקטובר 2025 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע כי תוקפים מנצלים אותן בשטח, עם מועד תיקון לגופים פדרליים ב-23 באוקטובר 2025.
הרשומה פורסמה ב-21 במאי 2025, כארבעה חודשים וחצי קודם. החולשה נחקרה ופורסמה בידי חברת ONEKEY, והפרסום שלה מופיע כמקור ברשומה.
ושווה לשים לב למה שמסתתר כאן. התקן נישה עם מעט משתמשים יחסית הגיע לקטלוג המנוצלות, וזה בדרך כלל לא קורה מפני שמישהו רדף אחרי תחנות מזג אוויר. התקן שרץ תמיד, שאיש אינו מעדכן ושמריץ פקודות כ-root הוא נכס שימושי בפני עצמו, בלי קשר למה שהוא מודד.
מה עושים?
עדכנו את הקושחה לגרסה 6.2 או חדשה יותר. זו הגרסה שסוגרת את החולשה לפי הרשומה, והודעת היצרן בפורום Meteohub היא המקום שבו הפרטים מתפרסמים.
בדקו שההתקן אינו נגיש מהאינטרנט. אם הגדרתם בעבר העברת פורטים בנתב כדי לראות את הנתונים מרחוק, זו ההגדרה שצריך לבטל. גישה מרחוק אפשר לקבל דרך VPN לרשת הביתית במקום דרך חשיפה ישירה של ממשק הניהול.
אם אתם מפעילים כמה התקנים כאלה בגוף מדידה, הפרידו אותם ברמת הרשת משאר המחשבים. התקן שאי אפשר לעדכן מיד עדיף שיישב ברשת משלו.
ואם ההתקן ישן ואינו מקבל עוד קושחה, השאלה האמיתית היא אם הוא צריך להיות מחובר לרשת בכלל. תחנה שמדווחת נתוני מזג אוויר אינה חייבת לשבת לצד המחשבים והטלפונים שלכם.