وكالة CISA تضيف ثلاث ثغرات أمنية جديدة إلى كتالوج الثغرات المستغلة فعليًا تشمل AMI MegaRAC وD-Link وFortinet

أعلنت وكالة الأمن السيبراني وأمن البنية التحتية الأميركية (CISA) يوم الأربعاء عن إضافة ثلاث ثغرات أمنية جديدة إلى كتالوج الثغرات المستغلة فعليًا (KEV)، وذلك استنادًا إلى أدلة على استغلال نشط لها في بيئات حقيقية.

قائمة الثغرات الأمنية المضافة:

1. CVE-2024-54085 (درجة CVSS: 10.0)
   ثغرة تجاوز المصادقة عبر انتحال الهوية في واجهة Redfish Host الخاصة بمنصة AMI MegaRAC SPx، قد تسمح للمهاجم بالسيطرة الكاملة على الجهاز عن بُعد.

2. CVE-2024-0769 (درجة CVSS: 5.3)
   ثغرة اجتياز المسارات (Path Traversal) في أجهزة التوجيه D-Link DIR-859، تمكن المهاجمين من تصعيد الامتيازات والتحكم غير المصرح به. (غير مصححة حتى الآن)

3. CVE-2019-6693 (درجة CVSS: 4.2)
   ثغرة مفتاح تشفير ثابت (Hardcoded Key) في أنظمة FortiOS وFortiManager وFortiAnalyzer، تتيح للمهاجم الذي لديه وصول إلى ملفات الإعدادات (CLI) فك تشفير كلمات المرور المخزنة.

تفاصيل فنية وخطر الثغرات

أوضحت شركة Eclypsium، المختصة بأمن البرمجيات الثابتة والتي كشفت CVE-2024-54085، أن هذه الثغرة يمكن استغلالها لتنفيذ مجموعة واسعة من الأنشطة الخبيثة، مثل:

• زرع برمجيات خبيثة

• التلاعب بالبرمجيات الثابتة للأجهزة (firmware)

• تجاوز أدوات الحماية التقليدية عبر التشغيل تحت نظام التشغيل

• إعادة تشغيل أو إعادة تهيئة الخوادم عن بُعد

• سرقة بيانات الاعتماد والتحرك أفقيًا داخل الشبكة

• استنشاق البيانات الحساسة أو تعطيل الخادم نهائيًا

تم نشر كود استغلال لهذه الثغرة، يسمح بإنشاء حساب مسؤول على وحدة التحكم BMC دون الحاجة إلى مصادقة، فقط عبر طلب HTTP POST.

وكشفت Eclypsium أن نحو 2000 جهاز BMC من نوع AMI MegaRAC متاح للعامة عبر الإنترنت، بالإضافة إلى آلاف الأجهزة الأخرى داخل الشبكات الداخلية، وتُستخدم هذه الأجهزة من قبل شركات بارزة مثل:
AMD، ARM، Fujitsu، Gigabyte، Huawei، Nvidia، Supermicro، Qualcomm.

حول ثغرتي D-Link وFortinet

• ثغرة D-Link DIR-859 (CVE-2024-0769):
  تم استغلالها ضمن حملة تم الكشف عنها منذ عام من قبل شركة GreyNoise، حيث سُرِّبت أسماء الحسابات وكلمات المرور والمجموعات.
  لكن أجهزة DIR-859 أصبحت خارج الدعم (EoL) منذ ديسمبر 2020، مما يعني أنه لن يتم إصدار تصحيحات لها. وينصح المستخدمون بالتوقف عن استخدامها واستبدالها فورًا.

• ثغرة Fortinet (CVE-2019-6693):
  استخدمها مهاجمون مرتبطون بعصابة Akira لبرمجيات الفدية كوسيلة للوصول الأولي إلى شبكات ضحاياهم، من خلال فك تشفير بيانات كلمات المرور المخزنة في ملفات الإعدادات.

إجراءات ملزمة للوكالات الحكومية

نظرًا لوجود استغلال نشط لهذه الثغرات، أصدرت وكالة CISA توجيهًا يلزم الوكالات الحكومية الفيدرالية الأميركية (FCEB) باتخاذ الإجراءات التصحيحية اللازمة قبل 16 يوليو 2025 لحماية شبكاتها من هذه التهديدات.