רונן זילברמן מאתר פירצה ב- Jetro Secure Browsing

יועץ אבטחת המידע, רונן זילברמן, מפרסם בבלוג שלו פרטים על פירצה שחשף במוצר  Jetro Secure Browsing . המוצר משמש גופים גדולים המפעילים תשתיות קריטיות, כגון בנקים, משרדי ממשלה, גופי ביטחון ועוד. 

בפוסט שקיבל את הכותבת "האירוניה שבתוכנת אבטחה שאינה מאובטחת", מפרט זילברמן את פרטי הפריצה לאחר שמאפשרת לתוקף להריץ קוד מרחוק ולהשתלט על כל תחנות העבודה בארגון בבת אחת.

"Jetro Cockpit Secure Browsing הוא פתרון להפרדת רשת ולגלישה תחת פרוקי. תחנות העבודה בארגון נמצאות ברשת פנימית חתונה (אינטרה נט) ללא חיבור ישיר החוצה. לצורך גלישה באינטרנט, תחנות העבודה מתחברות לשרת מתווך ב- DMZ (מחוץ לאינטרה נט) כדי שיבצע את הגלישה בשם על גבי חיבור מרוחק", מסביר זילברמן בבלוג, ומבהיר כי השרת המתווך נמצא בעצמו בסיכון אך במקרה של איום תחנת העבודה תהיה מוגנת, והאיום יישאר ברמת השרת שאינו מכיל מידע רגיש.

אך לעיתים הפתרון מייצר בעיה, כותב זילברמן. "הפירצה שנמצאה מפרקת את המוצר מהערך שהוא מציע. באמצעות התוקף, לאחר שפגע בשרת ה- DMZ, יכול להחדיר קוד זדוני לתוך כל תחנת עבודה העושה בו שימוש לגלישה ברשת… גרוע מכך, הקוד הזדוני יכול מאוחר יותר 'להתקשר הביתה'. בדרך כלל, קוד זדוני המגיע לרשת פנימית מתקשה להתחבר חזרה החוצה. אך במקרה זה הפתרון של Jetro בעצמו מהווה סוכן לחיבור".

המשמעות של הדברים היא כי מידע רגיש יכול לדלוף מהרשת הפנימית וכי התוקף יכול לבסס איום קבוע בתוך הרשת. זילברמן עדכן את ספק הפתרון אודות הפירצה והיא תוקנה במהירות באמצעות עדכון שפורסם לכל להלקוחות.