ב-AnyDesk, תוכנה לשליטה מרחוק על מחשב, התגלתה חולשה ברכיב שמטפל בקבצים של הקלטת המסך. היא קיבלה 5.5 מתוך 10, ציון בינוני, וזה לא במקרה: כדי לנצל אותה תוקף צריך כבר להיות על המחשב ולהריץ בו קוד בהרשאות נמוכות. מה שהוא מרוויח הוא היכולת לשבש את פעולת המערכת, לא לקרוא ממנה מידע.

מה החולשה?

במערכות קבצים אפשר ליצור רשומה שנראית כמו תיקייה רגילה, אבל היא בעצם מצביע לתיקייה אחרת. תוכנה שכותבת לתוך הרשומה הזאת חושבת שהיא כותבת למקום שביקשה, ובפועל הקבצים נוצרים ביעד שהמצביע מכוון אליו. למצביע כזה קוראים junction.

ה-service של AnyDesk, הרכיב שרץ ברקע ויכול ליצור קבצים שהתוקף עצמו אינו מורשה ליצור, הוא זה שמטפל בקבצי ההקלטה. תוקף בהרשאות נמוכות לא יכול לכתוב בעצמו לתיקיות מוגנות, אבל הוא כן יכול להחליף את יעד ההקלטות ב-junction. מאותו רגע הרכיב כותב בשמו, להיכן שהוא כיוון. כך נוצרים קבצים במקומות שהתוקף לא היה אמור לגעת בהם, והמערכת מגיעה למצב שבו היא מפסיקה לתת שירות. הסיווג של הבאג הוא CWE-59.

הווקטור מסייג את התמונה: הגישה חייבת להיות מקומית, נדרשות הרשאות כלשהן, ולא נדרשת פעולה מהמשתמש. ההשפעה על סודיות המידע ועל שלמותו מדורגת כאפס, וההשפעה על הזמינות גבוהה. זו חולשה שמפילה, לא שגונבת.

מי מושפע?

הרשומה נוקבת בגרסה אחת, AnyDesk 9.0.4. מי שמריץ אותה, בעיקר בתחנות עבודה שבהן AnyDesk מותקן באופן קבוע לצורכי תמיכה, נמצא בטווח.

הסייג המעשי כאן חשוב יותר ממספר הגרסה. החולשה אינה דרך להיכנס למחשב, אלא משהו שתוקף שכבר נכנס יכול לעשות אחרי שנכנס. בישראל AnyDesk נפוץ מאוד, אבל רוב המשתמשים אינם במצב שבו מישהו כבר מריץ קוד על המכונה שלהם. למי שכן נמצא במצב הזה, קריסה של המערכת היא בדרך כלל לא הנזק הגדול ביותר שהוא מתמודד איתו באותו רגע.

האם מנוצלת בפועל?

החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח. לא ידוע על ניצול, ובחולשה שדורשת דריסת רגל מוקדמת על המכונה גם לא סביר שהיא תהיה יעד לסריקות אוטומטיות שמחפשות קורבנות ברשת.

המחקר הגיע מ-Zero Day Initiative, גוף שרוכש חולשות מחוקרים ומפרסם אותן לאחר שהיצרן תיקן. ההתראה שפורסמה שם היא המקור המלא, והיא נושאת גם את המזהה הפנימי ZDI-CAN-26591.

מה עושים?

בדקו את הגרסה המותקנת: פתחו את AnyDesk והיכנסו לפריט התפריט שמציג את פרטי הגרסה. אם מופיע שם 9.0.4, זו הגרסה שהרשומה מתארת, ויש להתקין גרסה חדשה ממנה.

הרשומה אינה נוקבת במספר הגרסה שבה החולשה תוקנה. הכלל הפשוט במצב כזה הוא להתקין את הגרסה העדכנית שהיצרן מציע, ולא לחפש מספר ספציפי להשוות אליו.

מבחינת סדר עדיפויות, זו לא חולשה שמצדיקה עדכון חירום באמצע הלילה. היא דורשת שתוקף יריץ קוד על המחשב עוד לפני שהוא נוגע בה, וההשפעה שלה היא שיבוש ולא חשיפת מידע. טפלו בה במסגרת מחזור העדכונים הרגיל, ותנו עדיפות גבוהה יותר לחולשות שאפשר לנצל מרחוק ובלי אימות.