SiteGuard-glufan er þegar misnotuð — varðveittu ummerki áður en þú uppfærir

Í neyðartilkynningu EG Secure Solutions frá 14. október 2026 er staðfest að glufa í tölfræðivirkni SiteGuard Server Edition, CVE-2026-106931, hefur þegar verið misnotuð. Á viðkvæmum vefþjóni getur árásaraðili nýtt hana til að keyra skipanir í stýrikerfinu með root- eða SYSTEM-réttindum. Tölfræðivirkni hugbúnaðarins er sjálfgefið virk.

Fyrir rekstraraðila skiptir röð viðbragða máli: sækja þarf og varðveita greiningarupplýsingar úr vefumsjón SiteGuard áður en uppfærsla eða sérstakur plástur er settur upp. Hvort tveggja getur eytt ummerkjum um árás og þannig torveldað rannsókn á því hvort tiltekinn þjónn hafi orðið fyrir misnotkun. Að varðveita gögnin er því hluti af brýnu viðbragði við glufunni, ekki ástæða til að fresta lagfæringu umfram það sem varðveislan krefst.

Varðveittu greiningarupplýsingar áður en þú breytir uppsetningunni

Framleiðandinn tilgreinir afmarkaða leið í vefumsjón SiteGuard Server Edition: opna „Greiningarupplýsingar“, velja að hlaða þeim niður og geyma eintakið áður en ný útgáfa eða plástur er settur inn. Við uppfærslu geta gögn á þjóninum breyst eða horfið. Varðveitt eintak heldur tiltækum þeim upplýsingum sem kunna að skipta máli við síðari athugun á árás.

Það nægir ekki í þessu tilviki að skrá aðeins útgáfunúmer og tíma uppfærslunnar. Slík skráning segir til um hvað var sett upp, en kemur ekki í stað greiningarupplýsinganna sem voru á kerfinu fyrir breytinguna. Geyma þarf niðurhalaða eintakið þannig að þeir sem rannsaka mögulegt atvik geti nálgast það eftir að lagfæringunni er lokið.

Greiningarupplýsingar eru ekki sjálfar sönnun þess að innbrot hafi átt sér stað. Þær varðveita hins vegar rannsóknarmöguleika sem gæti annars glatast einmitt við aðgerðina sem lokar glufunni. Þar sem misnotkun er staðfest er ástæða til að meta hvort viðkvæm uppsetning hafi verið nýtt, um leið og komið er í veg fyrir frekari nýtingu hennar.

Hvaða útgáfur og vefþjónar verða fyrir áhrifum?

Aðvörun JPCERT/CC afmarkar áhrifin við SiteGuard Server Edition frá Ver2.20 þar sem tölfræðivirkni er virk. Mörkin ráðast af gerð vefþjóns og stýrikerfi. Því þarf að bera saman bæði uppsetta útgáfu og vettvanginn áður en ákveðið er hvort þjónninn þurfi lagfæringu:

• Apache og Nginx utan FreeBSD, ásamt IIS: útgáfur fyrir Ver8.00 Update5 eru viðkvæmar. Ver8.00 Update5 er lagaða útgáfan.
• Apache og Nginx á FreeBSD: útgáfur fyrir Ver7.00 Update6 eru viðkvæmar. Ver7.00 Update6 er lagaða útgáfan.
• IIS hefur undantekningu: Ver3.10 til og með Ver4.00 Update4 verða ekki fyrir áhrifum af þessari glufu.

Útgáfunúmer eitt og sér dugar ekki til að úrskurða um áhættuna. Glufan hefur áhrif þegar tölfræðivirkni er virk, og sjálfgefin stilling kveikir á henni. Rekstraraðili sem hefur slökkt á virkninni þarf því að staðfesta þá stillingu í raunverulegri uppsetningu; rekstraraðili sem hefur látið sjálfgefnu stillinguna standa þarf að miða við viðkvæmu útgáfumörkin.

FreeBSD-útgáfur Apache og Nginx hafa önnur lagfæringarmörk en sömu vefþjónar á öðrum stýrikerfum. Einnig þarf að halda IIS-undantekningunni aðgreindri frá almenna bilinu fyrir Ver8.00 Update5. Þessi atriði skipta máli þegar margir þjónar eða ólíkar uppsetningar eru yfirfarnar undir sama SiteGuard-heiti.

Sjálfgefin tölfræði getur leitt til skipanakeyrslu

Veikleikinn er skipanainnspýting í tölfræðivirkni hugbúnaðar sem keyrir á vefþjóni. Í skrá JVN iPedia er aðgangsleið flokkuð sem staðbundin og gert ráð fyrir takmörkuðum fyrirliggjandi réttindum; grunnstig samkvæmt CVSS 4.0 er 8,5. Þessi skilyrði lýsa því að nýting glufunnar krefst meiri aðgangs en óauðkennd vefbeiðni ein og sér.

Afleiðingin við árangursríka misnotkun er engu að síður víðtæk: hægt getur verið að keyra handahófskenndar skipanir með root-réttindum á Unix-líkum kerfum eða SYSTEM-réttindum í Windows-umhverfi. Áhrifin takmarkast þá ekki við tölfræðisíðuna, þótt veikleikinn liggi í þeirri virkni. Þess vegna þarf að skoða bæði hvort hún sé virk og hvaða réttindi skipanakeyrsla á viðkomandi þjóni gæti fengið.

Staðfest misnotkun segir ekki sjálfkrafa til um hvaða tilteknu uppsetningar hafa orðið fyrir árás. Fyrir viðkvæman þjón er þó hættulegt að láta uppfærsluna vera eina skráða viðbragðið: ef greiningarupplýsingar hverfa á sama tíma verður erfiðara að kanna stöðu hans fyrir lagfæringuna. Varðveisla ummerkja og lokun glufunnar þjóna þannig tveimur ólíkum, nauðsynlegum tilgangi.

Uppfærsla, plástur og tímabundin óvirkjun

Beina lagfæringin er að setja upp lagaða útgáfu fyrir viðkomandi vettvang. Ef útgáfuuppfærsla er erfið býður EG Secure Solutions einnig sérstakan plástur sem skiptir út skrám sem tölfræðivinnslan notar. Sá kostur nær jafnframt til útgáfa sem eru komnar úr stuðningi. Hvora leiðina sem rekstraraðili velur þarf að ljúka niðurhali og varðveislu greiningarupplýsinga fyrst.

JPCERT/CC tilgreinir óvirkjun tölfræðivirkni sem tímabundna leið fram hjá þessum veikleika. Hún fjarlægir skilyrðið sem þarf til að glufan hafi áhrif, en tölfræðin verður þá ekki tiltæk á meðan virknin er óvirk. Þetta getur skipt máli ef ekki er unnt að setja inn viðeigandi lagfæringu strax; uppfærsla eða plástur er áfram varanlega úrræðið fyrir uppsetningu sem á að nota með virkri tölfræði.

Í rekstri er því skynsamleg röð að staðfesta vefþjón, stýrikerfi, útgáfu og stöðu tölfræðivirkni, varðveita greiningarupplýsingarnar og setja síðan inn viðeigandi lagfæringu. Ef sú uppsetning tefst má slökkva á tölfræðivirkni til bráðabirgða. Þegar grunur er um innbrot þarf jafnframt að rannsaka hvað gerðist á þjóninum: lagfærð útgáfa lokar þessari nýtingarleið, en endurheimtir ekki ummerki sem hurfu við uppsetningu hennar.

Lestu einnig:

• Færri uppfærslubeiðnir — flokkaðu háða pakka áður en vélmennið ræsir
• Notion eða Confluence: sveigjanleiki kostar þegar þekkingin stækkar