Active! mail הוא שירות דואר מבוסס דפדפן של חברת Qualitia, שארגונים מתקינים על שרת משלהם. לפי הרשומה, בגרסה 6 עם BuildInfo 6.60.05008561 וכל מה שלפניה, בקשה שנבנתה במיוחד ונשלחה מהרשת בלי שום הזדהות עלולה להוביל להרצת קוד או להשבתה של השירות. הציון הוא 9.8, ו-CISA רשמה את החולשה כמנוצלת בשטח ב-28 באפריל 2025.

מה החולשה?

כל תוכנית שמקבלת נתונים מבחוץ מקצה להם מקום בזיכרון מראש. אם הנתון שהגיע ארוך מהמקום שהוקצה לו, והתוכנית מעתיקה אותו בלי לבדוק קודם את האורך, העודף נכתב אל מעבר לגבול ודורס את מה שיושב שם.

הרשומה מסמנת שהמקום הזה הוא המחסנית, אותו אזור שבו התוכנית שומרת גם את כתובת החזרה, כלומר לאן להמשיך כשהפונקציה הנוכחית תסתיים. תוקף ששולט במה שנדרס שולט גם בכתובת הזאת, וכך במה שירוץ הלאה. למשפחה הזאת קוראים stack-based buffer overflow.

הרשומה מציינת שתי תוצאות אפשריות, הרצת קוד שרירותי או השבתה של השירות, וההבדל ביניהן הוא בדרך כלל עניין של דיוק. השבתה היא מה שקורה כשהדריסה מפילה את התהליך במקום להשתלט על הזרימה שלו.

את הציון 9.8 קובע הצירוף: מהרשת, בלי הרשאות, בלי מעורבות של משתמש. אין כאן קישור שצריך ללחוץ עליו ואין קובץ שצריך לפתוח. מספיק שהשרת מקשיב.

מי מושפע?

לפי הרשומה, Active! mail בכל גרסה שלפני BuildInfo 6.60.05008562.

היצרן יפני, ההודעה הרשמית פורסמה ביפנית, והרשומה מפנה גם ל-JVN, מאגר החולשות היפני. בישראל זה אינו מוצר שנתקלים בו, וארגון ישראלי ממוצע אינו מריץ אותו. זה אינו הופך את העמוד ללא שימושי: מי שמחזיק שרת דואר מבוסס דפדפן שאינו אחד השמות המוכרים צריך לדעת שגם מוצרים כאלה נכנסים לקטלוג של CISA, ובציון 9.8.

האם מנוצלת בפועל?

כן. ב-28 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-19 במאי 2025.

הרשומה אינה מצרפת ניתוח טכני של תקיפה מסוימת. מה שיש הוא ההודעה של היצרן והרשומה ב-JVN. הקביעה שיש ניצול היא של הקטלוג.

מה עושים?

1. עדכנו ל-BuildInfo 6.60.05008562 או מאוחר יותר. זו הגרסה שסוגרת לפי הרשומה, ומספר ה-BuildInfo מוצג בממשק הניהול של השרת. ההודעה של Qualitia היא ההפניה הרשמית, והרשומה ב-JVN זמינה גם באנגלית.

2. עד שמעדכנים, הגבילו מי מגיע לשרת. הפנייה אינה דורשת הזדהות, ולכן שרת שנגיש מכל האינטרנט חשוף לכל סורק. הגבלה לכתובות ידועות או חיבור דרך VPN מצמצמת את זה מיידית.

3. בדקו אם השירות קרס בחודשים האחרונים. הרשומה מציינת השבתה כתוצאה אפשרית, וקריסה שנרשמה ולא הוסברה היא בדיוק הסימן שמחפשים.

4. אחרי העדכון, התייחסו לשרת כאל שרת שייתכן שרץ בו קוד זר. בדקו קבצים וחשבונות שנוספו, והחליפו פרטי אימות ששמורים עליו.