יש חולשות שגונבות מידע ויש כאלה שהורסות אותו. זו מהסוג השני. פרופיל ה-CVSS שלה מסמן את הפגיעה בסודיות המידע כאפס, ואת הפגיעה בשלמות המידע ובזמינות המערכת כגבוהה. במילים אחרות, תוקף מקומי אינו קורא כאן דבר. הוא כותב ומוחק.

מה החולשה?

קישור סימבולי הוא רשומה במערכת הקבצים שנראית כמו קובץ אבל אין בה תוכן. יש בה נתיב. כשתוכנה פותחת אותה, המערכת מפנה אותה בשקט אל היעד שהנתיב מצביע עליו.

הבעיה מתחילה כששירות בהרשאות גבוהות ניגש לקובץ שיושב במקום שמשתמש רגיל יכול לכתוב בו. התוקף מחליף שם את הקובץ בקישור שמצביע לאן שהוא רוצה, והשירות, שאינו בודק לאן הוא נשלח, מבצע את הפעולה על היעד החדש בהרשאות שלו ולא בהרשאות של מי ששתל את הקישור. לסוג הבאג הזה קוראים מעקב אחר קישורים.

התוצאה כאן היא מחיקה או דריסה של קבצים שהמשתמש לא היה אמור לגעת בהם. זה נשמע פחות דרמטי מגניבת מידע, ובפועל זה מספיק. קובץ מערכת שנדרס בעותק שהתוקף בחר הוא דרך מוכרת להפוך הרשאה מוגבלת להרשאה מלאה.

מי מושפע?

הרשימה מכסה את ווינדוס 10 בענפים 1507, 1607, 1809, 21H2 ו-22H2, את ווינדוס 11 בענפים 22H2, 23H2 ו-24H2, וכן את Windows Server 2016 ו-Windows Server 2019.

הניצול מקומי, כלומר התוקף צריך כבר להיות על המחשב עם הרשאות כלשהן. זה לא הופך את החולשה לתאורטית. עמדת עבודה שנפגעה בפישינג מספקת בדיוק את התנאי הזה.

האם מנוצלת בפועל?

כן. החולשה נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA ב-11 בפברואר 2025, עם מועד יעד לתיקון בגופים הפדרליים ב-4 במרץ 2025. הקטלוג הזה מרכז חולשות שידוע שתוקפים משתמשים בהן בפועל, להבדיל מכאלה שרק תוארו ותוקנו.

מה עושים?

התקינו את עדכון האבטחה של ווינדוס והפעילו מחדש את המחשב. הבניות שסוגרות את החולשה בווינדוס 10 הן 10.0.19045.5487 בענף 22H2, 10.0.19044.5487 בענף 21H2, 10.0.17763.6893 בענף 1809, 10.0.14393.7785 בענף 1607 ו-10.0.10240.20915 בענף 1507. בווינדוס 11 מדובר ב-10.0.22621.4890 בענף 22H2, 10.0.22631.4890 בענף 23H2 ו-10.0.26100.3107 בענף 24H2.

בצד השרתים, Windows Server 2016 נסגר באותה בנייה של ענף 1607, ו-Windows Server 2019 באותה בנייה של ענף 1809. את המספר שרץ אצלכם אפשר לראות בפקודה winver, והרשימה המלאה נמצאת בדף העדכון של מיקרוסופט.

עמדות שאינן מקבלות עדכונים אוטומטית, בעיקר בסביבות שבהן העדכונים מנוהלים בשלבים, הן המקום להתחיל בו. חולשה שמנוצלת בשטח וממתינה לחלון עדכון רבעוני היא בדיוק הפער שתוקפים חיים בתוכו.