APT היא המערכת שמתקינה ומעדכנת תוכנה בדביאן, באובונטו ובהפצות שנגזרו מהן. בגרסאות 1.4.8 ומטה היא לא ניקתה כראוי שדה בתשובת הפניה מסוג 302, ולפי הרשומה הדבר מאפשר לתוקף שיושב על הדרך להזריק תוכן, ומשם אפשר להגיע להרצת קוד על המכונה. הציון הוא 8.1, והתיקון פורסם בינואר 2019.

מה החולשה?

כששרת עונה לבקשה בהפניה, הוא אומר ללקוח: מה שחיפשת נמצא בכתובת אחרת, פנה לשם. התשובה הזאת, קוד 302, מכילה שדות שהלקוח קורא ומסתמך עליהם בלי לחשוד בהם.

הכשל הוא שאותם שדות לא נוקו. תוקף שיכול לענות במקום השרת, או לשנות את תשובתו בדרך, יכול לכתוב בשדה ההפניה תווים שאינם שייכים לכתובת, וכך להחדיר תוכן משלו אל מה שהלקוח מעבד הלאה. לכך קוראים הזרקת תוכן, והרשומה אינה מצרפת לחולשה הזאת סיווג CWE.

ומה שהופך את זה לחמור דווקא ב-APT הוא מה שהוא עושה עם מה שהוריד. APT אינו רק מוריד קבצים, הוא מתקין אותם, וההתקנה רצה בהרשאות root. מי שמשפיע על מה שיותקן משפיע על מה שיורץ, בהרשאות הגבוהות ביותר במכונה.

מצד שני, הדירוג מציב כאן תנאי אחד שמרכך: מורכבות התקיפה מדורגת גבוהה. התוקף צריך להיות במצב שבו הוא רואה את התעבורה ויכול לשנות אותה, וזה אינו מצב שמתקיים מעצמו מהקצה השני של האינטרנט.

מי מושפע?

כאן הרשומה מפורטת במיוחד, וזה חריג לטובה. ב-APT: כל מה שלפני 1.2.30, וכן הטווח שמ-1.3 ועד 1.4.8 ועד בכלל. באובונטו: 12.04, 14.04, 16.04, 18.04 ו-18.10. בדביאן: 8.0 ו-9.0. הרשומה מונה גם שני מוצרים של NetApp שמכילים את הרכיב, Active IQ ו-Element Software.

מכיוון שמדובר בחולשה מ-2019 שתוקנה מיד, מי שעוד נמצא בטווח הוא מי שמריץ מערכת שלא עודכנה שנים. זה פחות נדיר ממה שזה נשמע: שרת שהוקם פעם למשימה אחת וממשיך לרוץ, מכונה וירטואלית שנשארה פתוחה, או התקן שמריץ בתוכו הפצה ישנה ואיש אינו מתייחס אליו כאל מחשב.

כל גרסאות ההפצה שהרשומה מונה יצאו מתמיכה. מערכת שעוד רצה על אחת מהן אינה חשופה לחולשה הזאת בלבד, וזה השיקול האמיתי כאן.

האם מנוצלת בפועל?

לא ידוע על ניצול. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שיש עדות לשימוש אמיתי בהן.

היעדר ניצול ידוע בחולשה משנת 2019 אומר יותר ממה שהוא אומר בחולשה טרייה. עברו שבע שנים, ובזמן הזה היא לא נרשמה בקטלוג. ההסבר הסביר לכך הוא התנאי המקדים: התוקף צריך לשבת על הדרך בין המחשב ובין שרת החבילות, ורוב התוקפים אינם שם.

הרשומה מפנה אל הודעות האבטחה של דביאן מינואר 2019 ואל העדכון DSA-4371, ואינה מפנה לקוד ניצול או למחקר שמתאר אותו.

מה עושים?

1. בדקו איזו גרסה רצה אצלכם: apt --version. אם המספר נמוך מ-1.2.30, או נמצא בין 1.3 ל-1.4.8, המערכת בטווח שהרשומה מונה.

2. עדכנו: sudo apt update ואחריו sudo apt upgrade. אם העדכון אינו מגיע כלל, זה בעצמו סימן, מפני שמשמעותו שהגרסה שרצה אצלכם אינה מקבלת עוד עדכוני אבטחה.

3. אם המערכת היא אובונטו 12.04, 14.04, 16.04, 18.04 או 18.10, או דביאן 8 או 9, הטיפול האמיתי הוא שדרוג לגרסה נתמכת ולא עדכון של חבילה אחת. הפרטים מצד דביאן נמצאים בעדכון DSA-4371.

4. ואם אתם מריצים Active IQ או Element Software של NetApp, הרשומה מונה גם אותם, ושם העדכון מגיע מהיצרן ולא ממאגר ההפצה.