נחשפה פגיעות שמאפשרת השתלטות מלאה על שרתי לינוקס

נחשפה פגיעות קריטית, שמשפיעה על כלי הרשת OpenSSH ושניתנת לניצול כדי להעניק לתוקפים שליטה מלאה בשרתי לינוקס ויוניקס – ללא צורך באימות.

הפגיעות, CVE-2024-6387, מאפשרת ביצוע פעולות תכנות והשתלטות מרחוק על המערכות, כאשר התוקפים עלולים להגיע עד לליבת מערכות הלינוקס – המבוססות על glibc, שהיא סוג של ספריית קוד פתוח מ-תקן C. הפגיעות היא תוצאה של שינויים שבוצעו בקוד ב-2020, לאחר שנחשפה פגיעות אחרת -CVE-2006-5051. זו האחרונה תוקנה ב-2006. החוקרים מתריעים כי בשל החולשה החדשה שנתגלתה, "אלפי, אם לא מיליוני, שרתים היו לפגיעים, כאשר הפגיעות הזו עלולה להוות סיכון משמעותי עבורם".

לדברי בהארט ג'וגי, מנהל בכיר לחקר איומים בקוואליס, חברת האבטחה שחשפה אותה, "פגיעות זו, אם היא מנוצלת, עלולה להוביל לפגיעה מלאה במערכת. התוקף עלול ויכול להפעיל קוד שרירותי, עם ההרשאות הגבוהות ביותר, וכך להשיג השתלטות מלאה על המערכת, להתקין נוזקות, לעשות מניפולציה על הנתונים ולבנות דלתות אחוריות לטובת גישה מתמשכת למערכות הקורבן".

לפי ג'וגי, "הפגיעות עלולה גם להקל על התוקפים: הם עלולים לנצל אותה כדי שתהווה 'בסיס' למעבר לתקיפה של מערכות אחרות בתוך הארגון".

הסיכון – בגלל התפקיד המרכזי של OpenSSH ברשתות פנימיות מקוונות

אנליסטים לתחום האבטחה הסבירו כי הסיכון נובע בחלקו מהתפקיד המרכזי ש-OpenSSH ממלא כמעט בכל רשת פנימית מקוונת. כך, הרכיב מספק למנהלי מערכת ערוץ להתחבר למכשירים מוגנים מרחוק, או חיבור ממכשיר אחד למשנהו – בתוך הרשת. היכולת של OpenSSH לתמוך בכמה פרוטוקולי הצפנה חזקים, כמו גם השילוב שלו בכמעט כל מערכות ההפעלה המודרניות ומיקומו בקצה הרשתות – כולם גורמים שמגדילים את הפופולריות של השימוש בו.

מלבד פוטנציאל הפגיעה בשרתים, הפגיעות מספקת "יכולת רבת עוצמה", לפי החוקרים, לביצוע שינויים זדוניים בקוד, כך שהתוקפים משיגים במרמה את הרשאות הגישה הגבוהות ביותר – כאמור, ללא צורך באימות. זאת בשל פגם שנובע מניהול שגוי של רכיב ב-glibc, כאשר הכוונה היא ל-sshd – מנוע OpenSSH הראשי. לכן כינו חוקרי קוואליס את הפגיעות בשם regreSSHion – הלחם מילים בין רגרסיה ושם הרכיב הפגיע.

למרות חומרת האיום הנשקף מהניצול של הפגיעות, סטן קמינסקי, חוקר בקספרסקי, אמר ש-"יש גורמים שונים שעשויים למנוע את הניצול שלה באופן רחב היקף: ההתקפה יכולה להימשך עד שמונה שעות, והיא דורשת עד 10,000 שלבי אימות". הוא ציין שמגבלה נוספת לניצול נרחב של הפגיעות נעוצה בכך שהתוקפים חייבים לדעת מהי מערכת ההפעלה הספציפית שפועלת למול כל שרת שמותקף, "וקשה לעשות זאת בשל ריבוי כתובות. סיבה נוספת להקטנת סיכויי ההצלחה של התוקפים טמונה בכך שבעת מתקפות מניעת שירות (DoS), מערכות הקורבן מגבילות את מספר בקשות החיבור הנכנסות למערכת".

למרות המגבלות הללו, ציינו חוקרים, "עדיין קיים סיכון של התקפות ממוקדות על רשת ספציפית שלתוקפים יש בה עניין, עם ביצוע ניסיונות אימות במשך כמה ימים, עד להשתלטות, כאשר התוקפים יקפידו לכסות את עקבותיהם. כל ארגון שמפעיל גרסה פגיעה צריך לעדכן אותה בהקדם האפשרי".