חולשות שהתגלו במערכות סייברארק ו-HashiCorp עלולות לחשוף את הסודות של אנבידיה וסיילספורס
סטארטאפ ישראלי גילה חולשות קריטיות שמאפשרות להשתלט על המידע הרגיש של החברות הגדולות בעולם
תמונה: Pixabay
חברת הסייבר הישראלית Cyata הצליחה לחדור ממש למעמקי "הכספות" של העולם הארגוני ויצאה עם ממצא מדאיג במיוחד: 14 חולשות אבטחה קריטיות בשתי מהפלטפורמות הנפוצות ביותר לניהול סודות (Secrets Management) – HashiCorp Vault ו-CyberArk Conjur.
אם אתם לא מכירים את הכלים האלה, תחשבו עליהם כעל כספות דיגיטליות שמאחסנות את כל הסודות של הארגון: סיסמאות למסדי נתונים, מפתחות API, תעודות דיגיטליות, טוקנים לגישה למשאבים קריטיים ועוד. ברשימת המשתמשים תמצאו כמה שמות שאתם אולי מזהים: NVIDIA, Salesforce, Adobe, Stripe, Citibank, ואפילו Lufthansa. בקיצור, הלב של הלב של התעשייה.
צוות החוקרים של Cyata מצא 9 חולשות ב-HashiCorp Vault ועוד 5 חולשות ב-CyberArk Conjur. חלק מהן קיבלו דירוג CVSS של 9.1 (מתוך 10), וכוללות לא פחות משרשראות שלמות להרצת קוד מרחוק (RCE). כלומר: תוקף יכול להשתלט על המערכת בלי לעבור דרך אף אחד מהשומרים בדרך. לפעמים, אפילו בלי להזדהות.
כל עדכוני ה-IT, תשתית וטכנולוגיה בערוץ הטלגרם של ITtime
במקרה של Vault, מדובר בפריצת RCE הראשונה שמתועדת מאז שהמוצר הושק לפני עשור. החולשה הייתה שם במשך 9 שנים והיא מתאפשרת להרצה עוד לפני כל תהליך אימות.
הממצאים הוצגו בכנס הסייבר העולמי Black Hat על ידי שחר טל, מנכ"ל ומייסד-שותף של סיאטה וירדן פורת, חוקר ראשי בחברה. "זהו תרחיש האימים של אבטחת מידע ארגונית," אמר טל, "כשתוקפים יכולים לפרוץ לכספת הארגונית ללא כל אימות, הם מקבלים גישה מלאה לכל מסד נתונים, לכל API, ולכל משאב ענן בכל רחבי הארגון. בהדמיות שערכנו הצלחנו בחלק מהמקרים להגיע להשתלטות מלאה באמצעות בקשת API וללא הרשאות או אימות".
Cyata. תמונה: אריק סולטן
ומה עם אימות דו שלבי?
עוד ממצא שהתגלה הוא חולשות שמאפשרות לעקוף מנגנוני אימות כמו MFA (אימות דו-שלבי) או פשוט לנחש סיסמאות בלי הגבלה, באמצעות טריק פשוט של שימוש באותיות קטנות וגדולות. כן, ברצינות. גם Conjur לא יצאה נקייה: החוקרים הצליחו להריץ קוד מרחוק בלי להחזיק פרטי התחברות בכלל. איך? עקיפת מנגנוני IAM, הזרקת תבניות, שימוש לרעה במאפיינים של Host Factory. שרשרת תקיפה אחת שמתחילה בכאילו שום דבר ונגמרת בשליטה מלאה.
Cyata דיווחה על הכול לשתי החברות שאישרו את הממצאים, שיתפו פעולה, פיתחו תיקונים ויידעו את הלקוחות שלהן. החברה מצידה פתחה עמוד ייעודי שבו פירוט מלא של כל אחת מהחולשות, כלים לזיהוי פריצה, והמלצות טכניות לארגונים.
סיאטה היא חברה חדשה בנוף, שהוקם ב-2024 על ידי שחר טל (מנכ"ל); דרור רוט (סמנכ"ל פיתוח); וברוך ויצמן (סמנכ"ל טכנולוגיות) יוצאי 8200, סלברייט וצ’ק פוינט והיא מפתחת מערכת הגנה ייעודית ל"זהויות מבוססות AI" (או Agentic Identities), תחום חדש שמתמקד בהגנה על סוכני בינה מלאכותית שפועלים באופן עצמאי. אבל כשזה מגיע לחולשות קריטיות בכספות של העולם הארגוני, נראה שהם כבר לגמרי שם.
