רוב החולשות שנכנסות לרשימת המנוצלות בפועל אינן דורשות חשבון. זאת דורשת, ובכל זאת היא שם. Cloud Services Appliance של Ivanti הוא מכשיר שיושב בקצה הרשת ומאפשר לנהל מחשבים שנמצאים מחוץ למשרד, והחולשה מאפשרת למי שמחזיק בו הרשאות מנהל להריץ עליו פקודות מערכת משלו.

מה החולשה?

המכשיר מקבל ערך מהממשק ומשלב אותו בפקודה שהוא מבקש ממערכת ההפעלה להריץ. כשהערך אינו מופרד כראוי מהפקודה עצמה, אפשר לשתול בו תוכן שמערכת ההפעלה תקרא כפקודה נוספת ותריץ גם אותה. התוצאה היא הרצת קוד על המכשיר.

הפרט שמעצב כאן את כל התמונה הוא התנאי המקדים. לפי הרשומה, התוקף חייב להחזיק הרשאות ברמת מנהל על המכשיר כדי להשתמש בחולשה. זה מוריד את הציון ל-7.2 מתוך 10, ומוריד באופן טבעי גם את תחושת הדחיפות.

השאלה הנכונה היא איך תוקף מגיע לחשבון מנהל, וזאת שאלה שמכשיר בקצה הרשת עונה עליה יותר מדי פעמים: סיסמה שנשארה מההתקנה, פרטי אימות שדלפו במקום אחר, או חולשה שנייה שעוקפת את ההזדהות. ברגע שיש חשבון, החולשה הזאת הופכת גישה לממשק הניהול לשליטה על מערכת ההפעלה שמתחתיו. זה ההבדל בין לשנות הגדרות לבין להישאר על המכשיר.

מי מושפע?

Cloud Services Appliance בגרסה 4.6, בכל העדכונים עד Patch 518 ועד בכלל.

זה מוצר לארגונים שמנהלים ציוד קצה מרוחק, ולא כלי שמשתמש פרטי נתקל בו. בישראל הוא רלוונטי לארגונים שמשתמשים במערכות הניהול של Ivanti, ובעיקר לאלה שמפעילים עבודה מהבית או סניפים מרוחקים, מפני ששם המכשיר הזה מקבל את תפקידו.

האם מנוצלת בפועל?

כן. ב-13 בספטמבר 2024 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים מנצלים בהן בשטח, עם מועד יעד לגופים הפדרליים ב-4 באוקטובר 2024. באותו יום פרסמה הסוכנות גם התראה נפרדת על העדכון של Ivanti.

הרשומה הפומבית נפתחה שלושה ימים קודם, ב-10 בספטמבר.

מה עושים?

עדכנו את המכשיר לפי הודעת האבטחה של Ivanti. הרשומה מסמנת את גרסה 4.6 עד Patch 518 כחשופה, וההודעה של היצרן היא המקום שבו רשום מה מתקין אותה.

מכיוון שהחולשה דורשת חשבון מנהל, הטיפול אינו נגמר בעדכון. בדקו מי מחזיק הרשאות מנהל על המכשיר, בטלו חשבונות שאינם בשימוש, והחליפו סיסמאות של חשבונות שנוצרו בהתקנה ואיש לא נגע בהם מאז.

הגבילו גם את מי שיכול להגיע לממשק הניהול מלכתחילה. ממשק שנגיש רק מרשת הניהול הפנימית מקטין את מספר מי שיכולים בכלל לנסות, בלי תלות בגרסה שרצה על המכשיר.