SharePoint: osrednji propust iz avgusta sada se koristi u napadima
Propust u SharePointu koji je Microsoft zakrpio u avgustu sada se koristi u napadima, a američka CISA ga je 25. septembra upisala na listu aktivno eksploatisanih ranjivosti. Microsoft ga je prvobitno vodio kao srednje ozbiljan propust tipa lažnog predstavljanja, pa je ocenu ispravio: reč je o izvršavanju napadačevog koda na serveru. SharePoint je Microsoftov sistem za deljenje dokumenata i intranet, a propust CVE-2026-65660 pogađa samo verzije koje organizacije drže na sopstvenim serverima, 2016, 2019 i Subscription Edition. Za napad je potreban nalog sa najnižim ovlašćenjima, dakle bilo koji korisnik. Istraživači su, međutim, pokazali da se propust može spojiti sa ranjivošću zakrpljenom u junu, pa na serverima koji dozvoljavaju anonimno čitanje prijava nije ni potrebna. Napadi su krenuli 24. septembra, par dana pošto je vijetnamska firma Viettel objavila tehničke detalje. Firma Previdian je na svom mamac-serveru zabeležila 16 pokušaja sa dve adrese, uključujući i pokušaj da se na server podmetne skrivena stranica preko koje napadač kasnije može da izdaje komande. Da li je neki od napada uspeo, za sada se ne zna. Ovo je osma SharePoint ranjivost koja je ove godine završila na CISA-inoj listi aktivno eksploatisanih ranjivosti.
Zakrpa je izašla pre šest nedelja, pa ovo nije toliko priča o propustu koliko o kašnjenju proverenog zaključka. Ocena koju propust dobije pri objavi određuje mu mesto u redu za krpljenje, a propust označen kao srednje ozbiljan lako završi pri dnu mesečne gomile. Kad proizvođač ocenu kasnije podigne, malo ko se vraća na spisak koji je već razvrstao. Ko je preskočio obe zakrpe, ostao je i bez prve linije odbrane, tj. prijave korisnika. SharePoint na sopstvenim serverima obično biraju organizacije koje svoje podatke ne žele u oblaku, pa su one i najviše pogođene ovom vešću. Šesnaest pokušaja nije velika brojka. Osam SharePoint propusta na listi napadanih za devet meseci jeste.
- Proveri da li su na SharePoint Server 2016, 2019 i Subscription Edition primenjene i avgustovske i junske zakrpe
- Isključi anonimni pristup SharePoint sajtovima gde nije neophodan
- Potraži u folderu _layouts/15 fajlove koje nisi postavio, posebno sphealth.aspx, a u logovima zahteve ka AddGallery.aspx
- Ne izlaži SharePoint direktno internetu, nego ga drži iza VPN-a ili posredničkog servera sa prijavom
- Kad proizvođač posle objave podigne ocenu propusta, vrati ga na vrh spiska za krpljenje