מוצר בשם SiteGuard Server Edition מכיל חולשה שמאפשרת להריץ עליו פקודות של מערכת ההפעלה בהרשאות הגבוהות ביותר, root בלינוקס או SYSTEM בווינדוס. לפי הרשומה במאגר NVD, התוקף צריך להיות כבר על המכונה ולהחזיק בהרשאות כלשהן, ולכן הציון עומד על 8.5 ולא גבוה יותר. לא ידוע על ניצול בפועל.
מה החולשה?
תוכנות רבות צריכות להפעיל פקודות של מערכת ההפעלה כחלק מהעבודה השוטפת, למשל כדי לאסוף נתונים או להפעיל כלי חיצוני. כשהפקודה נבנית כמחרוזת שמורכבת גם מקלט של המשתמש, והקלט הזה אינו מנוקה, אפשר לתחוב לתוכו תווים שסוגרים את הפקודה המקורית ופותחים פקודה חדשה אחריה.
התוצאה היא שהפקודה של התוקף רצה במקום זו שהמתכנת התכוון אליה, ובאותן הרשאות בדיוק. לטכניקה הזאת קוראים OS command injection, הזרקת פקודות מערכת.
החלק המשמעותי כאן הוא דווקא ההרשאות. הרשומה אומרת שהפקודות רצות עם root או SYSTEM, החשבונות שאין מעליהם דבר במערכת. זה מה שהופך חולשה שמתחילה אצל משתמש מוגבל לשליטה מלאה במכונה.
הציון, 8.5 בשיטת CVSS בגרסה 4.0, משקף את שני הצדדים יחד: מצד אחד פגיעה גבוהה בסודיות, בשלמות ובזמינות, ומצד שני דרישה שהתוקף כבר יהיה על המכונה ויחזיק בהרשאות כלשהן.
מי מושפע?
כל מי שמריץ את SiteGuard Server Edition. הרשומה אינה מפרטת גרסאות, וההודעה על החולשה פורסמה גם במאגר החולשות היפני JVN וגם אצל היצרן עצמו.
ובישראל? המוצר יפני והמקורות עליו יפניים, והוא אינו מהשמות שרצים כאן בכל ארגון שני. רוב הקוראים אינם נוגעים בו כלל, ומי שכן מריץ אותו יודע זאת היטב.
יש כאן בכל זאת זווית שנוגעת לכולם. החולשה דורשת גישה מקומית, כלומר היא מעניינת תוקף שכבר הצליח להיכנס. חולשות מהסוג הזה הן השלב שבו חדירה קטנה הופכת להשתלטות על המכונה כולה, והן לרוב מקבלות פחות תשומת לב מחולשות שנפתחות מרחוק.
האם מנוצלת בפועל?
לא, לפי מה שידוע כרגע. החולשה אינה רשומה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמרכזת בו חולשות שידוע כי תוקפים מנצלים אותן בשטח.
שווה לסייג את זה. לקטלוג הזה נכנסות בעיקר חולשות שנראות מנוצלות מול מטרות אמריקאיות, ומוצר שמופץ בעיקר ביפן לא בהכרח יגיע אליו גם אם מישהו ינצל אותו. מי שמריץ את המוצר יעשה נכון אם יעקוב גם אחרי ההודעות של היצרן.
מה עושים?
בדקו איזו גרסה של SiteGuard Server Edition רצה אצלכם, והשוו אותה לגרסה המתוקנת שמופיעה בהודעת היצרן. הרשומה במאגר NVD אינה נוקבת במספרי גרסאות, ולכן ההודעה הזאת היא המקור.
הרשומה המקבילה במאגר היפני JVN זמינה באנגלית ומרכזת את אותו מידע, למי שההודעה המקורית אינה נגישה לו.
עד להתקנת העדכון, צמצמו את מי שיש לו חשבון או גישה מקומית למכונה שמריצה את המוצר. הניצול מחייב דריסת רגל על המכונה, וכל חשבון מיותר שם הוא נקודת פתיחה.
בדקו גם את הכיוון ההפוך: אם למכונה הזאת יש גישה למערכות נוספות ברשת, השתלטות עליה בהרשאות root אינה נעצרת בגבולות שלה.