המחשב לא נפרץ מהרשת. מישהו פתח קובץ. Microsoft Management Console, המסגרת שבתוכה נפתחים כלי הניהול של Windows, טיפלה בקלט מובנה בצורה לקויה, ומי שהצליח להביא קובץ מתאים אל המחשב ולגרום למשתמש לפתוח אותו קיבל הרצת קוד. הציון הוא 7.8 מתוך 10, והחולשה נכנסה לרשימת המנוצלות ביום שבו פורסמה.

מה החולשה?

כלי הניהול של Windows, אלה שפותחים כדי לראות שירותים, משתמשים או ניהול דיסקים, אינם תוכנות עצמאיות. הם מודולים שנטענים לתוך מסגרת אחת, והמסגרת הזאת יודעת לקרוא קובץ שמתאר איזו תצוגה לפתוח ואיך להגדיר אותה.

מהרגע שקובץ מתאר תצורה, הוא גם קלט. הליקוי שסווג כאן הוא טיפול לקוי בקלט מובנה, כלומר המסגרת לא ניקתה כראוי את מה שקראה, ותוכן שהוכן במיוחד גרם לה לעשות יותר מאשר לצייר מסך.

המספרים הרשמיים מספרים את שאר הסיפור. וקטור הגישה מקומי, כלומר הקובץ צריך להגיע אל המחשב ולהיפתח שם. נדרשת פעולה של המשתמש. ולא נדרשות הרשאות מיוחדות מהתוקף. בפועל זה מתאר קובץ שנשלח בדואר או בהודעה ונפתח בלחיצה כפולה, ומכאן קוד שרץ בהרשאות של מי שלחץ.

מי מושפע?

טווח רחב של מהדורות Windows, מ-Windows 10 בגרסאות 1507 עד 22H2, דרך Windows 11 בגרסאות 21H2 עד 23H2, ועד לשרתים הוותיקים Windows Server 2008 R2 ו-Windows Server 2012 R2.

שתי מהדורות השרת האלה הן הנקודה הבעייתית. הן כבר לא בתמיכה הרגילה, ובארגונים לא מעטים בישראל עדיין רצה מכונה כזאת בשביל מערכת ותיקה שאי אפשר להחליף. אלה גם המכונות שמנהלים נכנסים אליהן דווקא כדי לפתוח כלי ניהול.

האם מנוצלת בפועל?

כן. ב-8 באוקטובר 2024, יום פרסום הרשומה, הכניסה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, עם מועד יעד לתיקון בגופים הפדרליים ב-29 באוקטובר 2024.

מה עושים?

ראשית העדכון. פתחו הגדרות, גשו ל-Windows Update, התקינו את מה שממתין והפעילו מחדש. אחר כך ודאו שההתקנה תפסה: מקש Windows יחד עם R, הקלידו winver, והשוו את הבנייה שמוצגת. במהדורות הנפוצות המספרים המתקנים הם 10.0.19045.5011 ב-Windows 10 גרסה 22H2, 10.0.19044.5011 בגרסה 21H2, ו-10.0.22621.4317 או 10.0.22631.4317 ב-Windows 11. את המספר המדויק למהדורות הוותיקות יותר, ואת העדכון לשרתי 2008 R2 ו-2012 R2, תמצאו בדף החולשה של מיקרוסופט.

ושווה כלל התנהגות אחד. קובץ קונסולת ניהול אינו מסמך, והוא אינו דבר שמגיע בדואר במהלך העבודה הרגילה. אם קיבלתם קובץ כזה מגורם שלא ציפיתם לו, גם מבפנים בארגון, אל תפתחו אותו לפני ששאלתם את מי ששלח.