פרצת יום אפס ב-FortiMail: תוקפים כותבים קבצים לשרת הדואר בלי להזדהות
Fortinet הודיעה ב-1 באוקטובר על חולשה קריטית בשרתי הדואר FortiMail שכבר מנוצלת בתקיפות. עד 5 באוקטובר לא היה תיקון לרוב הגרסאות, והפתרון הזמני היה לכבות את רכיב ההצפנה IBE.
TL;DR בקצרה
- CVE-2026-104286 קיבלה ציון 9.8 ומאפשרת לתוקף לא מזוהה לכתוב קבצים לכל מקום במערכת דרך בקשות HTTP מעוצבות.
- פגיעות גרסאות 7.2.0 עד 8.0.1 של FortiMail, והפתרון הזמני הוא לכבות את IBE, שירות ההצפנה לנמענים חיצוניים.
- בין סימני הפריצה: הקובץ /data/etc/ld.so.preload, חשבון ארכוב בשם archive234 ותעבורה לשתי כתובות IP.
- ב-5 באוקטובר פורסמו הגרסאות המתוקנות 7.4.9, 7.6.7 ו-8.0.2, ו-FortiMail Cloud עודכן אוטומטית.
Fortinet פרסמה ב-1 באוקטובר אזהרה דחופה ללקוחות FortiMail, מערכת אבטחת הדואר האלקטרוני שלה. תוקפים כבר מנצלים בתקיפות בפועל חולשה קריטית. היא מאפשרת לתוקף לכתוב קבצים לשרת, בלי שם משתמש וסיסמה.
החולשה, CVE-2026-104286, קיבלה ציון חומרה 9.8 מתוך 10. בזמן הפרסום לא היה לה תיקון ברוב הגרסאות הנתמכות.
Path Traversal בממשק הווב של FortiMail, ו-IBE במרכז
לפי עלון האבטחה FG-IR-26-175, זה שילוב של שתי חולשות מוכרות. הראשונה היא Path Traversal. התוקף משתמש ברצפים כמו ../ כדי לצאת מהתיקייה שהמערכת אמורה להגביל אותו אליה. השנייה היא טיפול לקוי בתו NULL. הוא מאפשר לחתוך באמצע את נתיב הקובץ ולעקוף בדיקות.
התוקף יכול לכתוב קבצים במקום שהוא בוחר. מספיקה לשם כך בקשת HTTP או HTTPS שעוצבה במיוחד לממשק הווב של FortiMail. Fortinet עצמה מגדירה את ההשפעה כ״הרצת קוד או פקודות לא מורשים״.
הגרסאות הפגיעות הן FortiMail 8.0.0 עד 8.0.1 ו-7.6.0 עד 7.6.6. הן כוללות גם 7.4.0 עד 7.4.8 ו-7.2.0 עד 7.2.9. צוות אבטחת המוצר של Fortinet עצמה גילה את החולשה. אבל החברה לא מסרה ממתי תוקפים מנצלים אותה. היא לא מסרה גם כמה מערכות ספגו פגיעה, ומי עומד מאחורי התקיפות.
הפתרון הזמני מראה איפה הבעיה. Fortinet ממליצה לכבות את תמיכת ה-IBE. זה מנגנון ההצפנה מבוסס הזהות. בעזרתו FortiMail מעביר מיילים בהצפנה לנמענים מחוץ לארגון. למי שמחזיק חומת אש לאפליקציות ווב (WAF) לפני השרת, יש המלצה נוספת. החברה ממליצה לחסום בקשות POST לנתיב /ibe שמכילות את הרצף ../.
מה התוקפים השאירו בשרתי FortiMail שנפרצו
סימני הזיהוי שפרסמה Fortinet מציירים תמונה של השתלטות שקטה וארוכת טווח. התוקפים הוסיפו קבצים כמו /data/lib/liblog.so, /data/bin/webconsole ו-/data/bin/mailservice, ויצרו את הקובץ /data/etc/ld.so.preload.
בלינוקס, הקובץ הזה גורם למערכת לטעון את הספרייה שמוגדרת בו לתוך כל תהליך. זה טריק מוכר להשתרשות. הם גם שינו את הגדרות שרת הווב ואת /bin/smit, והוסיפו משימה מתוזמנת שרצה בהרשאות root.
הפרט המדאיג ביותר הוא חשבון ארכוב בשם archive234. התוקפים הגדירו אותו בשורת הפקודה לשלוח נתונים לכתובת 79.141.169.187. במערכת דואר, חשבון ארכוב הוא כלי לגיטימי ששומר עותקים של הודעות.
בידי תוקף, הגדרה כזו עלולה לשמש להעברה מסודרת של דואר הארגון החוצה, בלי לעורר חשד. כתובת נוספת שקשורה לתקיפות היא 45.129.0.192.
CISA, סוכנות הסייבר האמריקאית, הוסיפה את החולשה לרשימת החולשות המנוצלות שלה. היא גם חייבה סוכנויות פדרליות לבצע בדיקה פורנזית ולטפל בבעיה עד 4 באוקטובר. הדרישה לבדיקה פורנזית, ולא רק לעדכון, מלמדת שההנחה היא שתוקפים כבר פרצו לחלק מהשרתים.
המקור המלא: הדיווח ב-Fortinet PSIRT.
מה זה אומר עבורכם
- עדכנו לגרסה המתוקנת: 7.4.9, 7.6.7 או 8.0.2 ומעלה. מי שעדיין בענף 7.2 צריך לעבור לענף 7.4 לפחות, כי ל-7.2 לא יוצא תיקון.
- עד שהעדכון מותקן, כבו את IBE. בממשק, היכנסו ל-Encryption ואז ל-IBE. בשורת הפקודה, הריצו config system encryption ibe, אחריה set status disable ולבסוף end. אם אתם לא משתמשים בהצפנת IBE בכלל, שקלו להשאיר אותה כבויה.
- הוציאו את הממשק מהאינטרנט: ממשק הניהול והווב-מייל של FortiMail לא צריכים להיות פתוחים לכל העולם. הגבילו אותם לרשתות פנימיות מהימנות או לגישה דרך VPN.
- חפשו סימני פריצה גם אחרי העדכון. חפשו חשבון ארכוב שאתם לא מכירים, ובמיוחד את archive234. בדקו גם את הקובץ /data/etc/ld.so.preload. בדקו גם משימה מתוזמנת שקשורה ל-/migadmin ותעבורה לשתי כתובות ה-IP שפורסמו.
- אם מצאתם משהו. הניחו שדואר הארגון דלף. החליפו סיסמאות ניהול ומפתחות, ובדקו אילו הודעות רגישות עברו במערכת בתקופה הרלוונטית.
מה קרה מאז
ב-5 באוקטובר Fortinet עדכנה את העלון והוסיפה את הגרסאות המתוקנות 7.4.9, 7.6.7 ו-8.0.2. לקוחות FortiMail Cloud לא צריכים לעשות דבר. לפי החברה, השירות עודכן לגרסאות המתוקנות באותו יום.
המקרה מצטרף לשורה ארוכה של תקיפות על מערכות שיושבות בקצה הרשת. הכוונה לחומות אש, שערי VPN ושרתי דואר. הן חשופות לאינטרנט מעצם תפקידן, ולכן חלון הזמן בין גילוי החולשה לניצול שלה קצר במיוחד.
מקורות והרחבה
- FG-IR-26-175: Path Traversal in FortiMailFortinet PSIRT
- Fortinet warns of critical FortiMail flaw exploited in zero-day attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
