התוקף כאן אינו תוקף את Guardium. הוא שולח חבילה אל רשת שה-Collector של Guardium מאזין לה, ולפי הרשומה זה מספיק: חבילת PRELOGIN מעוותת של פרוטוקול TDS מביאה את הרכיב שמפענח אותה לכתוב מעבר לגודל שהוקצה לו, ומשם אפשר להפיל את ה-Collector או להריץ עליו קוד. הציון הוא 8.1 מתוך 10.

מה החולשה?

TDS הוא הפרוטוקול שבו Microsoft SQL Server מדבר עם מי שמתחבר אליו. החבילה הראשונה בשיחה כזאת נקראת PRELOGIN, והשם מתאר מה שהיא: מה שעובר לפני ההתחברות עצמה. בשלב הזה שני הצדדים עוד מתאמים ביניהם פרטים טכניים, ואף אחד לא הזדהה ולא הוכיח דבר.

Guardium אינו צד בשיחה הזאת, הוא מאזין לה. ה-Collector הוא הרכיב שיושב מול הרשת, אוסף את התעבורה אל מסדי הנתונים ומפענח אותה. כלומר הוא קורא חבילות שלא נשלחו אליו, וזה כל תפקידו.

כאן נכנסת לתמונה הבעיה. לפי הרשומה, חבילת PRELOGIN שנבנתה במיוחד מביאה את המפענח לכתוב אל אזור בזיכרון יותר נתונים ממה שהאזור יכול להחזיק, והעודף נשפך על מה שמעבר לגבול. זאת גלישת חוצץ, המסומנת כאן CWE-119, והרשומה מונה שתי תוצאות: השבתה של ה-Collector, או הרצת קוד עליו.

ההבדל בין החולשה הזאת לאחיותיה באותו מוצר הוא נקודת המגע. התוקף אינו צריך חשבון ב-Guardium, אינו צריך להגיע לממשק הניהול שלו ואינו צריך לדעת שהוא קיים. מה שהוא צריך הוא היכולת לשלוח חבילה אל רשת שהמוצר מנטר. הדירוג מסמן את זה ב-AV:N לצד PR:N ו-UI:N, ומצד שני גם AC:H, כלומר הרשומה עצמה אומרת שהניצול תלוי בתנאים ואינו מובן מאליו.

מי מושפע?

הרשומה מונה את IBM Guardium Data Protection בגרסאות 12.0, 12.1 ו-12.2, והרכיב שנמצא בסיכון הוא ה-Collector.

מי שמריץ Guardium מריץ אותו כדי לנטר מסדי נתונים שחלה עליהם רגולציה, ובישראל אלה בעיקר בנקים, חברות ביטוח, קופות חולים וגופים ציבוריים גדולים. לגולש פרטי אין כאן מה לעשות.

מה שראוי לשים לב אליו הוא היחס בין המקום שבו נמצאת החולשה ובין המקום שממנו באה התעבורה. Collector מנטר קטעי רשת שעליהם יושבים מסדי הנתונים, ושם נמצאים גם שרתי יישומים, ממשקי ספקים ולא פעם גם תחנות של עובדים. כל אחד מהם הוא מקום שממנו אפשר לשלוח חבילה.

האם מנוצלת בפועל?

לא ידוע על ניצול בשטח. החולשה אינה רשומה בקטלוג ה-KEV של CISA, סוכנות הסייבר האמריקאית, הרשימה שמרכזת חולשות שיש עליהן ידיעה שתוקפים מנצלים אותן. הרשומה פורסמה ב-8 באוקטובר 2026 ועודכנה ב-10 בו, ולכן אין להסיק מההיעדר הזה שהחולשה אינה מעניינת תוקפים, אלא רק שהיא חדשה. זה המצב נכון לעדכון האחרון של הדף.

מה עושים?

1. בררו את גרסת ה-Collector. הטווח שברשומה הוא 12.0, 12.1 ו-12.2.
2. עדכנו לפי הודעת האבטחה של IBM. הרשומה אינה נוקבת בגרסה מתוקנת, ולכן ההודעה היא המקום שממנו לוקחים את התיקון.
3. מפו אילו קטעי רשת ה-Collector שלכם מנטר ומי יכול להעמיד תעבורה עליהם. זה אינו תיקון, אבל זה התרגיל שמראה לכם בפועל מי נמצא במעגל שיכול לשלוח את החבילה שהרשומה מתארת.
4. ודאו שה-Collector עצמו מופרד ומנוטר. הרשומה מעמידה הרצת קוד על המכשיר כאפשרות, ומכשיר שרואה את כל התעבורה אל מסדי הנתונים הוא עמדת תצפית מצוינת גם למי שהשתלט עליו.