מיקרוסופט תיקנה בדרייבר CLFS של ווינדוס חולשה של בדיקת קלט לקויה, שמאפשרת לתהליך מקומי מזוהה להרחיב את הרשאותיו עד רמת הליבה. הציון שלה הוא 7.8, והיא נמצאת ברשימת החולשות המנוצלות בפועל של CISA, עם מועד תיקון של שלושה שבועות לגופי הממשל האמריקאי.
מה החולשה?
CLFS, ראשי תיבות של Common Log File System, הוא הדרייבר שווינדוס מספקת לתוכנות שצריכות לנהל יומן פעולות משלהן. הוא חלק מהליבה, ולכן הקוד שלו רץ בהרשאות שאין לשום תוכנה רגילה.
הפגם כאן אינו בניהול הזיכרון אלא באמון. תוכנה שפונה לדרייבר מעבירה לו מבנים ופרמטרים שמתארים את היומן שלה: גדלים, היסטים, מספרי רשומות. הדרייבר אמור לוודא שכל ערך כזה הגיוני לפני שהוא פועל לפיו. בחולשה הזאת חלק מהבדיקות חסרות או אינן מספיקות, ותהליך שמעביר ערך שהדרייבר לא ציפה לו גורם לו לפעול על אזורים שלא היו אמורים להיות בתחום שלו.
זה גם מה שמסביר את הסיווג. החולשה מסווגת כבדיקת קלט לקויה ולא כבאג זיכרון קלאסי, אף שהיא מגיעה לאותה תוצאה: קוד שרץ בהרשאות של הליבה עושה משהו שמישהו אחר החליט עליו.
כדי להשתמש בה תוקף כבר צריך להיות מסוגל להריץ קוד על המחשב, גם אם בהרשאות הנמוכות ביותר. מה שהיא נותנת לו הוא המעבר מהמצב הזה לשליטה על המכונה.
מי מושפע?
כל ענפי ווינדוס 10 וווינדוס 11 שנתמכו במאי 2025, מהענף המקורי 1507 ועד 24H2, וכן Windows Server 2008 R2 ו-2012 R2. במילים אחרות, זו אינה חולשה של הגדרה מסוימת או של תוכנה שהתקנתם: CLFS נמצא בכל התקנת ווינדוס.
בישראל המשמעות המעשית פשוטה. כל ארגון שמריץ תחנות ווינדוס נדרש לעדכון הזה, וכך גם משתמשים ביתיים שכיבו את העדכונים האוטומטיים.
האם מנוצלת בפועל?
כן. ב-13 במאי 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV שלה, הרשימה שמרכזת חולשות שידוע שתוקפים מנצלים בשטח, וקבעה לגופים הפדרליים מועד תיקון של 3 ביוני 2025.
מה עושים?
התקינו את עדכוני האבטחה של ווינדוס. בהגדרות, תחת Windows Update, לחצו על בדיקת עדכונים, התקינו את מה שנמצא והפעילו מחדש. קופסת המידע הטכני למטה מפרטת את מספר הבנייה שסוגר את החולשה בכל ענף, ואפשר להשוות אליו את הבנייה שמופיעה בפקודה winver.
מנהלי מערכת שמפעילים תחנות שאינן מתעדכנות אוטומטית ימצאו את פרטי העדכון בדף החולשה של מיקרוסופט.
ואם אתם מנהלים מלאי תחנות, שווה למיין אותן לפי ענף ולא לפי גיל המחשב. הבנייה המתוקנת שונה בין ענף לענף, ומחשב חדש שנשאר על ענף ישן עדיין חשוף.