החולשה הזאת מופעלת עוד לפני שנשאלת השאלה אם לסמוך על התעודה. היא יושבת ברגע שבו המערכת מפרסרת אותה, כלומר מפרקת את המבנה שלה לשדות כדי לקרוא מה כתוב בפנים. לפי הרשומה, תעודה שנבנתה במיוחד גורמת שם לגלישת זיכרון שמאפשרת הרצת קוד, בלי חשבון ובלי סיסמה, בציון 9.8 מתוך 10.
מה החולשה?
תעודה דיגיטלית אינה טקסט חופשי אלא מבנה נתונים מקונן, כתוב בתקן בשם ASN.1. בתוכו יושבים שדות באורכים משתנים, ובתוך שדות יושבים שדות נוספים. כדי לקרוא תעודה, התוכנה עוברת על המבנה הזה שכבה אחר שכבה ומקצה לעצמה זיכרון לפי האורכים שרשומים בו.
וזאת בדיוק הנקודה הרגישה. האורכים שהתוכנה מסתמכת עליהם מגיעים מתוך התעודה, והתעודה מגיעה מהצד השני של החיבור. מי שבונה תעודה שבה האורך המוצהר אינו תואם למה שנשלח בפועל גורם לכתיבה גדולה מהבלוק שהוקצה, והעודף נוחת על הזיכרון ששכן לו שם. לכשל הזה קוראים גלישת חוצץ בערימה.
הסדר הוא מה שהופך את זה לחמור. הפענוח קורה לפני כל החלטה על אמון, כי אי אפשר להכריע אם תעודה קבילה בלי לקרוא אותה קודם. כלומר גם תעודה שהייתה נפסלת רגע לאחר מכן כבר הספיקה לעבור דרך הקוד הפגיע.
הווקטור מסמן תקיפה מהרשת, בלי הרשאות מוקדמות ובלי פעולה של משתמש, עם השפעה גבוהה על סודיות, שלמות וזמינות.
מי מושפע?
הרשומה מונה שתי משפחות מוצרים של צ'ק פוינט. הראשונה היא Quantum Security Gateway, השער שיושב בגבול הרשת. השנייה היא Quantum Security Management, שרת הניהול שדרכו נקבעת המדיניות של השערים האלה.
ההרחבה לשרת הניהול היא הפרט שכדאי לעצור עליו. שרת ניהול הוא בדרך כלל מכונה פנימית שאינה אמורה לקבל חיבורים מבחוץ, והוא גם המקום שממנו נשלטת מדיניות האבטחה של כל הארגון. מכונה כזאת יושבת גבוה יותר בשרשרת מאשר שער בודד.
גם כאן רשומת ה-NVD אינה מפרטת גרסאות ומפנה להודעת האבטחה של צ'ק פוינט. שם, ולא כאן, נמצאת הרשימה המדויקת של מה שצריך להתקין.
הציוד של צ'ק פוינט נפוץ מאוד בארגונים בארץ, כך שמדובר בחולשה שנוגעת להרבה רשתות ישראליות.
האם מנוצלת בפועל?
לא לפי מה שידוע כרגע. החולשה אינה נמצאת בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שידוע כי תוקפים מנצלים אותן בשטח.
זאת קביעה על מה שנצפה, לא על מה שאפשרי, והיא נבדקת כאן מחדש כל יום.
מה עושים?
הפרטים והתיקון מתפרסמים בהודעת האבטחה של צ'ק פוינט, וזה המקום להתחיל בו.
טפלו גם בשרתי הניהול ולא רק בשערים. זאת הנקודה שהכי קל לפספס כאן, כי עדכון של חומת אש הוא פעולה מתוכננת מראש ואילו שרת הניהול נחשב מכונה פנימית שאפשר לדחות בשקט.
בדקו מי יכול להגיע לשרת הניהול הזה ברשת. אם הוא נגיש מסגמנטים שאין להם סיבה לדבר איתו, כדאי לצמצם את זה בכל מקרה, וכאן זה מקטין ישירות את מספר המקומות שמהם אפשר לשלוח אליו תעודה.
ואם אתם מפעילים VPN מול לקוחות או ספקים, שימו לב להשלכה אחת של הסדר שתואר למעלה. החולשה מופעלת לפני שהתעודה מאומתת, ולכן העובדה שרק שותפים מוכרים מחזיקים תעודה תקפה אינה מגנה כאן.