קבלות, או שזה לא נחשב

דמיינו מגדל משרדים. מאות חברות בפנים, כולן חולקות את הלובי ואת המעליות, אבל כשאתם יורדים בקומה שלכם, החלק הזה הוא שלכם. המשרד שלכם, המגירה הנעולה שלכם. החברה שקומה מעליכם לא יכולה סתם להיכנס ולקרוא את הדואר שלכם. בשביל זה אתם שוכרים שם.
כמעט כל התוכנה שהחברה שלכם מריצה עובדת בדיוק כך. רשימת הלקוחות, השכר, כל מייל ששלחתם ללקוח - זה לא יושב על מחשב בבניין שלכם יותר. זה יושב במגדל אחד ענקי ומשותף, ואלפי חברות אחרות יושבות ממש ליד הנתונים שלכם. והדבר היחיד שמונע מהן להיכנס לקומה שלכם הוא קיר שאתם לא יכולים לראות, ולא יכולים לבדוק.
החודש מצאנו בניין שבו הקיר הזה היה מצויר ולא בנוי.
התוכנה היא Horilla, כלי בקוד פתוח לצוותי מכירות, שהרבה חברות נפרדות משתמשות בו בבת אחת. כשביקשתם לראות את צינור המכירות שלכם, הבקשה כללה פרט אחד קטן: של איזו חברה הנתונים. והפרט הזה הגיע ישר משורת הכתובת בדפדפן. החלק שאתם רואים, והחלק שאתם יכולים לערוך. התוכנה בדקה שאתם משתמש שמותר לו להסתכל על נתוני מכירות, ומותר כמעט לכולם. מה שהיא מעולם לא בדקה זה אם החברה שעליה שאלתם היא שלכם.
אז משנים את המספר. זה כל הסיפור. בלי סיסמה, בלי פריצה. הבניין בדק שמותר לכם לפתוח מגירה, הוא פשוט לא בדק של מי המגירה. שש דלתות באותו בניין, כולן נפתחות לכיוון הלא נכון.
אבל הממצא הוא רק חצי מהסיפור. היצרן זז מהר ושחרר תיקון, וסגר את הדלתות שאפשרו לשנות נתונים של חברה אחרת. וכאן בדרך כלל הסיפור נגמר. אנחנו לא לקחנו את המילה שלהם, חזרנו ובדקנו את המנעולים בעצמנו - וארבע מהדלתות עוד היו פתוחות. הם סגרו את אלה שאפשרו לשנות, והשאירו פתוחות את אלה שאפשרו לקרוא. על הנייר תוקן, במציאות אפילו לא קרוב. חזרנו אליהם, הם לא התווכחו, תיקנו גם אותן, ואז בדקנו עוד פעם אחת, כל דלת, לפני שקראנו לזה סגור.
ושני הרגלים, אם אתם בונים תוכנה. אל תתנו למבקר להחליט את הנתונים של מי הוא רואה - איזו חברה מותר לי לראות נקבע בשנייה שאני מתחבר, ולא בשורת הכתובת. וכשמישהו מוסר לכם תיקון, לכו תבדקו את המנעול בעצמכם, כי חצי תיקון שעונד מדבקה של "תוקן" מסוכן יותר מאפס תיקון.
ואם אתם רק משתמשים בתוכנה, וזה כולם: בפעם הבאה שמוכרים לכם מערכת שתחזיק את הלקוחות ואת המספרים שלכם, תשאלו שאלה אחת. איך אתם מונעים מהאנשים של חברה אחרת להגיע לנתונים שלי. לספק טוב יש תשובה מוכנה. שתיקה ארוכה מספרת לכם הכל.
הממצא: GHSA-m85w-6gg6-mvwm. הרשאה בלי בעלות בין חברות ב-Horilla CRM, חומרה גבוהה. קרדיט: Moshe Levi, LevinityCyber.
הכתבה המלאה על הממצא: levinitycyber.com/research/horilla-crm-cross-company-bola
כל הממצאים והדיווחים: levinitycyber.com/research
הגרסה האנגלית של התוכנית: Evidence, or it doesn’t count
קבלות, או שזה לא נחשב.

התיאור, מוכן להדבקה. 2,014 תווים מתוך 4,000.
בערך ארבעים אחוז מהאינטרנט רץ על פיסת תוכנה אחת: WordPress. וכמעט שום סיכון אמיתי לא גר בליבה שלו. הליבה בוגרת, נבחנה בשדה, ויש עליה אלפי עיניים כל יום. הסיכון גר קומה אחת מעל, בתוספים: יומן התורים, הווידג'ט של חמשת הכוכבים, הצ'אטבוט בפינה שמעמיד פנים שהוא בחורה אמיתית. בעל אתר ממוצע מריץ עשרים או שלושים מהם, מוערמים אחד על השני. משחק ג'נגה דיגיטלי שמתנדנד בשקט ברקע.
הפרק הזה הוא לא באג אחד מבודד. הוא מה שקורה כשמכוונים מכונה שלא מתעייפת אל כל המשטח הזה ומניחים לה לרוץ חודשים.
המנוע שלנו לא רודף אחרי חולשת יום אפס אקזוטית. הוא צד את המשפחה המשעממת שמריצה בשקט את האינטרנט המודרני: בדיקת הרשאות חסרה. דלת שהייתה אמורה להיות נעולה, ואף אחד לא התקין בה בריח. הקוד רואה את הבקשה מגיעה ומושך בכתפיים: הם לחצו על הקישור, אז הם בטח מורשים. בקרת גישה שבורה, המשפחה שהחולשה הזאת שייכת אליה, היא מספר אחת ברשימת עשרת החולשות של OWASP מאז אלפיים עשרים ואחת.
והקבלות. הדיווח הראשון שלנו בכלל יצא מתוסף לקידום אתרים, שבו כתב פרילנס שגויס לפוסט אחד יכול היה להגיע ישר אל בקרות האינדוקס של האתר בגוגל. תוסף של זירת מכירות רבת-מוכרים, שבו פעולות של מוכר אחד עברו דרך קיר הגבס אל לוח הבקרה של מוכר אחר. תוסף סקרים שבו התיקון הרשמי הראשון לא סגר את החור, וזה היה פרק 2. ותוסף גדול לניהול למידה, שבו כל אדם, בלי חשבון ובלי הרשאה, יכול היה לשלוף את מחברות התשובות המלאות של מבחנים פעילים. ועוד שלושה יצרנים שטיפלו בגילוי כמו מקצוענים ונתנו אישור בכתב לספר.
צוותים שונים, בסיסי קוד שונים, מקרי שימוש שונים לחלוטין. ובשורש של כל אחד מהם אותה השמטה: אף אחד לא בדק אם מי שדופק בדלת מורשה להיכנס.
ומה לעשות עם זה הלילה: כל תוסף שאתם לא משתמשים בו, למחוק. לא להשבית, למחוק, כי קוד מושבת הוא עוד קוד שאפשר להריץ. לתוספים שאתם כן צריכים, להסתכל על תאריך העדכון האחרון - פרויקט שאף אחד לא נגע בו שנה הוא לא יציבות איתנה, הוא בית נטוש עם אור מרפסת דולק. ולתת לכל חשבון את ההרשאה המינימלית שהוא צריך, ולא לחיצה אחת יותר.
הדיווח הראשון: CVE-2026-15252, תוסף לקידום אתרים. קרדיט: Moshe Levi, LevinityCyber.
כל הממצאים והדיווחים: levinitycyber.com/research
הגרסה האנגלית של התוכנית: Evidence, or it doesn’t count
קבלות, או שזה לא נחשב.

לבדיקה עצמית על תוסף ה WordPress שלכם:https://levinitycyber.com

במשך שלושים שנה לימדנו עובדים לא ללחוץ על הקישור ולא לפתוח את החשבונית החשודה. ואז, תוך שמונה עשר חודשים, בנינו סוג חדש לגמרי של עובד, נתנו לו גישה לקבצים, לסיסמאות ולמסדי הנתונים שלנו, ואמרנו לו להיות יעיל ולקחת יוזמה. שכחנו ללמד אותו אותם גבולות.

הפרק הזה הוא שני סיפורים על מכונות ששחררנו מהרצועה. סוכן בינה מלאכותית הוא בעצם מודל שפה עם ידיים. הוא לא רק מנסח מיילים, הוא פועל: קורא את תיבת הדואר, מריץ שאילתות, ונוגע במערכת הקבצים. התקן שנותן לו את הידיים האלה נקרא MCP, וההנחה השקטה היא שכל כלי הוא דלת פתוחה.

המנוע שלנו עצר על שרת MCP פופולרי בקוד פתוח, על כלי שנועד לצרף קובץ. הכוונה הייתה תמימה, אבל כוונה היא לא בקרת הרשאות. הכלי קיבל כל נתיב שנתנו לו. אתם חושבים שהסוכן מביא תמונה ממוזערת של סרטון, ותוקף מפנה אותו אל הקבצים הרגישים ביותר שלכם. דיווחנו באחריות, הפרצה תוקנה וקיבלה מספר דיווח רשמי, עם קרדיט ללוויניטי סייבר. ובכנות, אנחנו גם מספרים על זה ששחמק אלינו יומיים לפנינו ונסגר ככפול, ממצא אמיתי שמישהו אחר הגיע אליו, כי אם מוחקים את הכפולים כדי להיראות בלתי מנוצחים, השם של התוכנית לא אומר כלום.

סוכנת מכירות של בינה מלאכותית באתר של סוכנות רכב מכרה טנדר ששווה שישים אלף דולר תמורת דולר אחד, רק כי מישהו ביקש יפה. וחברת תעופה שטענה בבית דין שהצ'אטבוט שלה הוא ישות משפטית נפרדת האחראית למעשיה. הקו המשותף: הפסקנו לבקש מהתוקף לפרוץ פנימה, ואז יצאנו מהמעבדה. הפתרון הוא העיקרון המשעמם שאנחנו כבר מכירים, הרשאה מינימלית. תתייחסו לכל הנחיה שמגיעה לסוכן כאל קלט עוין. פשוט להזמין אותו.

פרקים

0:00 פתיח

1:40 מה זה סוכן, והבאג בכלי הצירוף

3:46 הקבלה, והמקרה ששחמק

5:32 הטנדר בדולר אחד

7:18 Air Canada והאחריות

9:09 הרצועה: הרשאה מינימלית

9:47 סיכום

קישורים

מחקר וגילויים: https://levinitycyber.com/research

yt-mcp add_attachment arbitrary file read: GHSA-99mq-fjjc-6v9j, credited LevinityCyber

באגים אמיתיים. ספקים אמיתיים. קבלות פומביות. בהגשת משה לוי, לוויניטי סייבר. קבלות, או שזה לא נחשב.

חברה מצאה חור אבטחה בתוכנה של עצמה, תיקנה אותו, סגרה את הקריאה והמשיכה בחיים שלה. ואז המנוע שלי מצא בדיוק את אותו חור, עוד פתוח לרווחה. כי הם תיקנו אותו לא נכון.
הפרק הזה הוא על שדה אחד קטן שכולם שכחו. התוכנה היא תוסף של WordPress בשם Survey Maker, והבאג המקורי היה מסוג סקריפטים חוצי אתרים, XSS: תוקף מחדיר קוד משלו לדף, והקוד הזה רץ בדפדפן של מי שטוען אותו, בשמו. אם הקורבן מחובר כמנהל מערכת, התוקף הפך למנהל מערכת, בלי לנחש שום סיסמה.

היצרן מצא את הבאג ושחרר תיקון. הוא ניקה שישה שדות קלט. שישה מתוך שבעה. השביעי יושב ממש לידם, חלק מאותה תכונה, מזין את אותו דף, והתיקון פשוט עבר לידו. המנוע שלי חזר אל התוסף אחרי שהוא כבר הוכרז מתוקן, וחיפש בדיוק את מה שהתיקון השאיר מאחור. דירוג החומרה: גבוה, 7.1, ובלי שום אימות. בלי התחברות, בלי חשבון, בלי גישה מיוחדת. כל אדם באינטרנט יכול היה להגיע לשם.
דיווחתי בשקט ובפרטיות, בערוץ הנכון. הם אישרו, שחררו תיקון שסוף סוף סגר את השדה האחרון, ורק אז זה פורסם, עם קרדיט ל-Levinity Cyber. מתוקן לפני שמילה אחת הייתה פומבית. זה הכלל כאן ואני לא שובר אותו.
ומכאן הפרק מתרחק, כי זה לא מקרה חד פעמי. אנחנו מדמיינים האקר גאון וחולשת יום אפס מבריקה, אבל מה שבאמת פורץ מערכות שבוע אחרי שבוע זה התיקון החלקי. ותוקפים לא נתקלים בבאגים האלה, הם צדים אותם בשיטה: תיקון הוא פומבי, אפשר לראות בדיוק מה השתנה, ומה שהשתנה הוא מפה. הוא מצביע על החלק הרגיש, ובדרך השמטה גם על מה שהמגן לא שם לב אליו.
שלושה דברים לקחת מכאן: לבחור באג אבטחה שסגרתם לפני כמה חודשים ולתת למישהו אחר להסתכל עליו מחדש. כשסוגרים באג, לאמת לא רק את הקלט שדווח אלא כל קלט שנמצא לידו, כי באגים באים במשפחות. ולזכור שתיקון שלא בדקתם הוא תקווה, לא תיקון.
הממצא: CVE-2026-65565. XSS לא מאומת ב-Survey Maker, חומרה גבוהה 7.1. קרדיט: Moshe Levi, LevinityCyber.
הכתבה המלאה על הממצא: levinitycyber.com/research/survey-maker-unauthenticated-xss
כל הממצאים והדיווחים: levinitycyber.com/research
הגרסה האנגלית של התוכנית: Evidence, or it doesn’t count
קבלות, או שזה לא נחשב.

הפרק הראשון, ואני פותח אותו עם קבלה.
בניתי מנוע שמחפש חורי אבטחה לבד, בלי הפסקה, במקום בדיקת חדירות שקורית פעם בשנה ומתיישנת למחרת. ואת מנוע כזה אי אפשר להוכיח במצגת. משחררים אותו על תוכנה אמיתית, ובודקים אם חברה אמיתית מתקנת את מה שהוא מצא.
המטרה בפרק הזה הייתה Cuga, סוכן אוטונומי בקוד פתוח של מחלקת המחקר של IBM. לסוכן היה כלי שנועד לפתוח קבצים, והבינה המלאכותית עצמה בחרה איזה קובץ. שום דבר לא בדק אם זה קובץ שמותר לה לגעת בו. הזנתי לו הנחיה שביקשה לפתוח קובץ, רק שלא הפניתי אותו לקובץ תמים אלא לקובץ ההגדרות של הסוכן עצמו, זה שמחזיק את מפתחות הגישה שלו. הסוכן פתח אותו, וכלי שני החזיר לי את המפתחות.
במונחי אבטחה קלאסיים זאת חציית נתיב, path traversal, באג שאנחנו מכירים עשרים שנה ושעכשיו לבוש בתחפושת של בינה מלאכותית. דירוג החומרה: גבוה, 7.5.
דיווחתי ל-IBM ישירות, בלי לפרסם כלום. הם אימתו מיד, בנו ארגז חול אמיתי סביב הכלי, ופרסמו את הדיווח עם קרדיט מלא ל-Levinity Cyber. ככה גילוי מתואם אמור לעבוד, וזה קורה פחות ממה שצריך.
והלקח הוא לא על IBM. במשך שני עשורים למדנו לאבטח את הדלת הקדמית. סוכני בינה מלאכותית בנו בדיוק עכשיו דלת אחורית ענקית, מלאה בכלים ברמת המערכת, וכמעט אף אחד לא בודק את המנעולים. שלושה דברים לקחת מכאן: לספור כל כלי שהסוכן שלכם יכול לקרוא לו, כולל אלה שהתוספים הוסיפו בשבילכם. להניח שאפשר להטעות אותו לגבי כל אחד מהם. ולשים את הגדר על הכלי, לא על ההנחיה.
הממצא: GHSA-q5xm-fr98-g4j5. קריאת קבצים שרירותית ב-IBM CUGA agent, חומרה גבוהה 7.5. קרדיט: Moshe Levi, LevinityCyber.
הכתבה המלאה על הממצא: levinitycyber.com/research/ibm-cuga-agent-arbitrary-file-read
כל הממצאים והדיווחים: levinitycyber.com/research
הגרסה האנגלית של התוכנית: Evidence, or it doesn’t count
קבלות, או שזה לא נחשב.