צוות ההנדסה של Cisco ערך ביקורת אבטחה פנימית על קו המוצרים Crosswork, ושחרר בעקבותיה גרסת חיזוק שמתקנת שורה של חולשות שמצא בעצמו. אחת מהן מסומנת כאן, והיא קיבלה 10 מתוך 10, הציון המקסימלי שאפשר לתת. מדובר ב-SQL Injection, הזרקה של פקודות למסד הנתונים דרך קלט שלא סונן כראוי.

מה החולשה?

אפליקציה שמחזיקה מסד נתונים בונה את השאילתות אליו מתוך מה שהמשתמש הכניס. אם הקלט נכנס לשאילתה בלי שנוטרלו ממנו התווים שיש להם משמעות בשפת מסד הנתונים, המשתמש יכול לכתוב בעצמו חלק מהשאילתה. במקום לחפש את מה שהתבקש, מסד הנתונים מריץ את מה שהתוקף שתל בתוכו. לטכניקה הזאת קוראים SQL Injection, והיא אחת הוותיקות שיש.

הרשומה מסווגת את החולשה תחת CWE-89, הקטגוריה של סינון לקוי של תווים מיוחדים בפקודת SQL. היא אינה מפרטת באיזה שדה או באיזה מסך מדובר.

הציון 10 אינו שכיח, וכדאי להבין ממה הוא מורכב. לפי הווקטור, הניצול מתבצע דרך הרשת, אינו דורש שום הרשאה מוקדמת, אינו דורש שמשתמש כלשהו יעשה משהו, ומוגדר כבעל מורכבות נמוכה. מעבר לזה הוא מסומן כחורג מגבולות הרכיב עצמו, כלומר ההשפעה אינה נעצרת באותו שירות. שלושת צירי הנזק, סודיות, שלמות וזמינות, מסומנים כולם כגבוהים. הצירוף הזה הוא מה שמייצר ציון מלא.

(ואגב, הרשומה מתארת לא חולשה אחת אלא קבוצה של חולשות שסווגו יחד תחת אותו מזהה, וזאת הסיבה שהתיאור נשאר כללי ואינו נוקב ברכיב מסוים.)

מי מושפע?

הרשומה אינה מפרטת מוצרים ומספרי גרסה, וזה חריג ביחס לרוב הדפים בסעיף הזה. מה שהיא כן אומרת הוא שהתיקון הגיע כגרסת חיזוק אחת של Cisco Crosswork, ושהפירוט המלא נמצא בהודעת האבטחה של היצרן.

Crosswork אינו מוצר שנמצא אצל משתמשי קצה. זהו ציוד ארגוני של Cisco שמותקן ומנוהל בידי צוותי תקשורת, ובישראל מעגל הגופים שמפעילים אותו צר. לגולש הפרטי אין כאן פעולה לעשות, וגם לרוב הארגונים הקטנים והבינוניים לא.

האם מנוצלת בפועל?

אין ידיעה על ניצול. לחולשה אין רשומה בקטלוג ה-KEV שמנהלת CISA האמריקאית, המאגר של חולשות שתוקפים כבר השתמשו בהן בשטח.

יש כאן גם הקשר שמשנה את התמונה. החולשה לא התגלתה בעקבות מתקפה ולא בידי חוקר חיצוני, אלא בביקורת פנימית שהיצרן עשה על עצמו, והתיקון יצא יחד עם הפרסום. זה אומר שלא היה חלון שבו הפרטים היו ידועים והתיקון לא היה קיים, וזה המצב ההפוך מחולשת יום-אפס.

מה עושים?

התקינו את גרסת החיזוק של Crosswork. היא השחרור היחיד שמתקן את החולשה הזאת, ואת מספר הגרסה המדויק לכל התקנה מפרטת Cisco בהודעת האבטחה. הודעת האבטחה של Cisco

כשאתם פותחים את ההודעה, קראו אותה במלואה ולא רק את השורה של החולשה הזאת. אותה גרסת חיזוק מתקנת כמה חולשות שהתגלו באותה ביקורת פנימית, כך שהעדכון סוגר יותר מפריט אחד והודעת היצרן היא המקום שבו הם מפורטים.

ואם ההתקנה אצלכם לא יכולה לקבל את העדכון מיד מסיבות תפעוליות, התייחסו לנגישות הרשתית של המערכת בינתיים: החולשה נוצלת דרך הרשת ובלי הזדהות, ולכן כל צמצום של מי שיכול בכלל להגיע לממשק מקטין את החשיפה עד שהעדכון יותקן.