נחשפו חולשות אבטחה קריטיות במערכת ניהול ושליטה מרחוק לניידים

שתי חולשות אבטחה חמורות נחשפו באחרונה במערכת לניהול מרחוק של מכשירים ניידים, מתוצרת FileWave, אשר נמצאת בשימוש נרחב בקרב ארגונים עסקיים וממשלתיים. את החולשות חשפו חוקרי Team82 של חברת הסייבר קלארוטי (Claroty) מתל אביב.

מערכת FileWave מאפשרת לארגונים לפקח ולנהל את כל המכשירים הניידים שלהם מרחוק, טאבלטים, מחשבים ניידים, תחנות עבודה, טלפונים סלולריים וטלוויזיות חכמות.

חולשות האבטחה החמורות במערכת לניהול מרחוק של מכשירים, ניידים, FileWave MDM. צילום: יח"צ

שתי החולשות החמורות (CVE-2022-34907, CVE-2022-34906) עלולות לאפשר לתוקפי סייבר לקבל גישה ברמת super-user, הגבוהה ביותר, מה שחושף את הארגון לסיכון גדול.

תוקף שהיה מצליח לנצל את החולשות שנחשפו, היה מסוגל לשלוט בכל המכשירים המנוהלים, לחדור לנתונים רגישים, כגון המספר הסידורי של המכשיר, כתובת הדואר האלקטרוני של המשתמש, שמו המלא, כתובתו, קואורדינטות של מיקומו הגיאוגרפי, כתובת ה-IP שלו, הקוד לפתיחת המכשיר (PIN) ועוד.

בנוסף לכך, תוקפים עלולים להשתמש לרעה ביכולות לגיטימיות של פלטפורמת הניהול, כדי להתקין נוזקות או קובצי הפעלה מרחוק, ואפילו לקבל גישה מלאה ולהשתלט מרחוק על המכשיר. ניצול זדוני של החולשות עלול להדביק מרחוק את כל המכשירים הנגישים לאינטרנט ומנוהלים על ידי מערכת FileWave MDM  – וכך לאפשר לתוקפים לשלוט בכל המכשירים, לקבל גישה לרשתות הביתיות האישיות של המשתמשים, לרשתות הפנימיות של הארגונים ועוד.

נועם משה, חוקר אבטחה בקבוצת מחקרי הסייבר של קלארוטי. צילום: שרון בריזינוב

מתקפות נגד מוצרים לניהול נקודות קצה

לדברי נועם משה, חוקר אבטחה בקבוצת מחקרי הסייבר של קלארוטי, "בשנים האחרונות אירעו כמה מתקפות נגד מוצרים לניהול נקודות קצה, כגון התקיפה החמורה של קבוצת REvil נגד Kaseya VSA,  ששימשה להפצת כופרות בנקודות קצה ברחבי העולם. יותר מאלף חברות סבלו מזמני השבתה משמעותיים עקב המתקפה ההיא. חברי קבוצת REvil הצליחו לנצל חולשות יום אפס בפלטפורמת Kaseya VSA, כדי לעקוף את מנגנון האימות שלה ולהשיג גישה מלאה. תקרית זו המחישה כי וקטור התקיפה של מוצרי ניהול התקנים מרחוק עדיין רלוונטי, וזה מחייב אותנו להישאר ערניים ודרוכים מפניו".

מיד לאחר שהחוקרים הודיעו להם על החולשות שנמצאו, אנשי FileWave פיתחו את התיקונים הנדרשים וסיפקו ללקוחות שלהם את עדכון הגרסה האחרון, v14.7.2. "השיפור בזמני התגובה של יצרנים וספקים לבעיות אבטחה חדשות מצמצם את משטח ההתקפה במידה ניכרת", הוסיף משה.