החולשה קיבלה את הציון המקסימלי, 10 מתוך 10, והיא יושבת ב-ColdFusion, הפלטפורמה של אדובי להרצת אפליקציות אינטרנט בצד השרת. לפי הרשומה במאגר NVD, תוקף יכול להעלות לשרת קובץ מסוג מסוכן ולגרום להרצת קוד, בלי להזדהות ובלי שמשתמש כלשהו יעשה דבר. לא ידוע על ניצול בשטח.

מה החולשה?

אתרים רבים מאפשרים להעלות קבצים: תמונת פרופיל, מסמך, קובץ מצורף לטופס. השרת שמקבל את הקובץ אמור לבדוק מה בדיוק הגיע אליו, ובעיקר לוודא שהקובץ לא יישמר במקום שבו השרת עצמו עלול להריץ אותו.

כאן הבדיקה הזאת חסרה. הרשומה מתארת העלאה בלי הגבלה של קבצים מסוג מסוכן, כלומר אפשר להעלות קובץ שהשרת מתייחס אליו כאל קוד ולא כאל נתון. מרגע שקובץ כזה יושב על השרת, די בפנייה אליו כדי שהקוד שבתוכו ירוץ, והוא רץ בהרשאות של התהליך שמריץ את ColdFusion.

שני פרטים מסבירים למה הציון הוא 10 ולא פחות. הראשון, הרשומה מסמנת שאין צורך בהזדהות ואין צורך בפעולה של משתמש: הפנייה מגיעה מרחוק אל השרת וזה כל מה שנדרש. השני, ההשפעה מסומנת כחורגת מהרכיב הפגוע אל מעבר לו.

זה צירוף שלא רואים הרבה.

מי מושפע?

ColdFusion אינו תוכנה שמותקנת במחשב ביתי. מדובר בשרת אפליקציות, וההתקנות שלו יושבות בארגונים שבנו עליו מערכות לאורך שנים: אתרים ארגוניים, טפסים פנימיים, ממשקים מול ספקים.

הרשומה עצמה אינה מפרטת אילו גרסאות מושפעות, ובזה יש בעיה מעשית: אי אפשר להסתכל בה ולדעת אם אתם בפנים או בחוץ. הפירוט נמצא בעדכון האבטחה של אדובי, APSB26-144.

בישראל, מי שמפעיל ColdFusion יודע שהוא מפעיל אותו. השאלה אינה אם המוצר נפוץ בציבור הרחב אלא אם הוא רץ אצלכם בארגון, ובאיזו גרסה.

האם מנוצלת בפועל?

החולשה אינה נמצאת בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הקטלוג שמרכז חולשות שידוע כי תוקפים מנצלים אותן בשטח. כלומר, נכון לעכשיו, לא ידוע על ניצול.

את המשפט הזה כדאי לקרוא בזהירות. חולשה בציון 10 בשרת אפליקציות, שאינה דורשת הזדהות כלל, היא בדיוק הסוג שסורקים אוטומטיים מתחילים לחפש זמן קצר אחרי הפרסום. היעדר דיווח הוא תמונת מצב של רגע, לא הבטחה לעתיד.

מה עושים?

ראשית בררו אם ColdFusion בכלל רץ אצלכם, ובאיזו גרסה. במערכות ותיקות הוא ממשיך לפעמים לרוץ מאחורי אתר שכבר אינו מתוחזק, וזה המצב המסוכן ביותר כאן, מפני שאיש אינו עוקב אחריו.

התיקון מגיע מאדובי. פתחו את עדכון האבטחה APSB26-144, אתרו שם את הגרסה שרצה אצלכם והתקינו את העדכון שמופיע לצידה. הרשומה במאגר NVD אינה מכילה את מספרי הגרסאות, ולכן זה המקור שצריך להסתכל בו.

עד שהעדכון מותקן, ודאו שהשרת אינו חשוף לאינטרנט יותר ממה שהוא חייב להיות. חולשה שמנוצלת מרחוק ובלי הזדהות תלויה קודם כול בכך שהתוקף יכול להגיע לשרת.

ואם יש אצלכם רכיב שמקבל העלאות קבצים, זה זמן טוב לבדוק לאן הקבצים נשמרים ומה קורה כשפונים אליהם ישירות.