צוות ההנדסה של Cisco בדק את קו המוצרים Secure Workload, מצא בו שורה של חולשות ושחרר גרסת חיזוק שמתקנת אותן. אחת הרשומות שיצאו משם היא זו, והיא קיבלה 10 מתוך 10. מה שהרשומה מספרת על החולשה עצמה הוא משפט אחד: מדובר בבעיות של בקרת גישה.

מה החולשה?

בקרת גישה היא ההחלטה מי מורשה לעשות מה. משתמש מבקש לראות נתון, להפעיל פעולה או לשנות הגדרה, ולפני שהבקשה מתבצעת צריכה להיות בדיקה שלמשתמש הזה מותר. חולשה בבקרת גישה אינה מצב שבו ההזדהות נשברה והתוקף מתחזה למישהו אחר, אלא מצב שבו הבדיקה הזאת אינה נעשית כמו שצריך, או שאפשר להגיע אל הפעולה בדרך שעוקפת אותה. הקטגוריה מסומנת כ-CWE-284.

הרשומה מנוסחת בלשון רבים, בעיות של בקרת גישה, ולא כמשפט על באג אחד. זה אינו ניסוח מקרי. Cisco אספה כמה חולשות שמצאה באותה ביקורת תחת מזהה אחד, לפי הקטגוריה שהן נופלות בה, כך שמזהה אחד כאן אינו באג אחד.

בפועל זה אומר שאין בדף הזה את מה שיש בדפים אחרים בסעיף: לא הרכיב, לא השדה, ולא תרחיש התקיפה. אפשר לראות בזה חוסר שקיפות, ואפשר לראות בזה את ההחלטה הנכונה כשהתיקון יצא יחד עם הפרסום. לקורא התוצאה זהה בשני המקרים: את מה שיש לדעת כאן אפשר ללמוד רק מהודעת האבטחה של Cisco.

הציון 10 הוא המקסימום שאפשר לתת. הווקטור מסמן ניצול מהרשת, בלי הרשאות מוקדמות ובלי מעורבות של משתמש, נזק גבוה בשלושת הצירים, והשפעה שחורגת מגבולות הרכיב שבו החולשה יושבת. הסימון האחרון הוא זה שמעלה את הציון לעשר מלאות.

מי מושפע?

הרשומה אינה מפרטת מוצרים ולא מספרי גרסה. מה שיש בה הוא שם קו המוצרים, Secure Workload, והעובדה שהתיקון הגיע כגרסת חיזוק אחת.

זהו מוצר ארגוני של Cisco. הוא אינו נמצא אצל משתמשי קצה, ובישראל הוא יהיה אצל ארגונים גדולים שמפעילים צוות תקשורת משלהם. לגולש הפרטי אין כאן פעולה לעשות, וגם לעסק קטן בדרך כלל לא. מי שכן מפעיל את המוצר יודע זאת היטב, והשאלה היחידה שנותרת לו היא אם ההתקנה שלו קיבלה את גרסת החיזוק.

האם מנוצלת בפועל?

אין ידיעה על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, שמאגד חולשות שתועד בהן שימוש בתקיפות אמיתיות.

ומכיוון שהציון כאן הוא 10, כדאי להגיד את הדבר הבא במפורש. ציון גבוה אינו אומר שהחולשה מנוצלת. הציון מודד מה אפשר לעשות עם החולשה למי שמצליח לנצל אותה, ולא את הסיכוי שמישהו ינסה. חולשה בציון 7 שתוקפים משתמשים בה בפועל דחופה יותר מחולשה בציון 10 שאיש לא ראה בשטח. במקרה הזה אין פרטים טכניים פומביים, התיקון יצא יחד עם הפרסום, והחולשה נמצאה בביקורת שהיצרן עשה על עצמו ולא בעקבות מתקפה.

מה עושים?

התקינו את גרסת החיזוק של Secure Workload. את מספר הגרסה המדויק לכל התקנה מפרטת Cisco בהודעת האבטחה: הודעת האבטחה של Cisco

אל תתכננו את העדכון לפי הרשומה הזאת לבדה. אותה ביקורת פנימית הפיקה כמה מזהי CVE שכולם מתוקנים באותו שחרור, כך שמי שסופר רשומות סופר יותר עבודה מהנדרש, ומי שמעדכן פעם אחת סוגר את כולן. הודעת האבטחה היא המקום שבו רואים את הרשימה המלאה.

ואם אתם מתלבטים איפה למקם את זה בתור: החולשה אינה דורשת הרשאות ואינה דורשת שמשתמש יעשה משהו, אבל גם אין עליה פרטים פומביים ואין ידיעה על ניצול. מה שמצדיק לקדם אותה אינו איום מיידי אלא זה שהתיקון כבר קיים ומחכה. חולשה שיש לה תיקון זמין היא הזולה ביותר לסגור.