Ivanti Neurons for ITSM’da aniqlangan zaifliklar: foydalanuvchi sessiyalari xavf ostidami?

Axborot texnologiyalari infratuzilmasini boshqarishda keng qo‘llaniladigan platformalardan biri — Ivanti tomonidan yana bir muhim xavfsizlik yangilanishi e’lon qilindi. Kompaniya o‘zining Ivanti Neurons for ITSM (N-ITSM) tizimida aniqlangan ikkita zaiflikni bartaraf etganini ma’lum qildi.

Mazkur zaifliklar o‘rta darajadagi (Medium) xavf toifasiga kiritilgan bo‘lsa-da, ularning oqibatlari korporativ muhit uchun jiddiy tahdid tug‘dirishi mumkin. Eng xavotirli jihati — bu nuqsonlar orqali hujumchi boshqa foydalanuvchilarning sessiyalariga oid ma’lumotlarni qo‘lga kiritishi yoki tizimga ruxsatsiz kirishni saqlab qolishi mumkin.

Zaifliklar haqida umumiy ma’lumot

Aniqlangan muammolar quyidagi identifikatorlar bilan ro‘yxatga olingan:

  • CVE-2026-4913
  • CVE-2026-4914

Har ikkala zaiflik ham N-ITSM platformasining 2025.3 va undan oldingi versiyalarida mavjud bo‘lib, 2025.4 yangilanishida to‘liq bartaraf etilgan.

Ivanti ma’lumotlariga ko‘ra, hozircha ushbu zaifliklardan real hujumlarda foydalanilgan holatlar aniqlanmagan. Biroq bu ularni e’tiborsiz qoldirish mumkin degani emas — aksincha, oldini olish choralarini tezkor ko‘rish zarur.

Birinchi zaiflik: kirishni bekor qilgandan keyin ham tizimda qolish xavfi

CVE-2026-4913 zaifligi noto‘g‘ri yo‘l (path) himoyasi bilan bog‘liq. Ushbu nuqson sababli tizimda alternativ yo‘llar yetarlicha himoyalanmagan.

Natijada, autentifikatsiyadan o‘tgan, ammo huquqlari bekor qilingan foydalanuvchi:

  • tizimdan to‘liq chiqarib yuborilmasligi
  • yashirin yo‘llar orqali kirishni davom ettirishi mumkin

Bu ayniqsa quyidagi holatlarda xavfli:

  • xodim ishdan bo‘shatilganda
  • ichki tahdidlar yuzaga kelganda
  • kirish huquqlari zudlik bilan bekor qilinishi talab etilganda

Korporativ xavfsizlik siyosatida “kirishni darhol to‘xtatish” muhim qoidalardan biri hisoblanadi. Ushbu zaiflik esa aynan shu mexanizmni izdan chiqaradi.

Ikkinchi zaiflik: sessiyalararo ma’lumot o‘g‘irlanishi

CVE-2026-4914 esa “stored XSS” turiga mansub bo‘lib, undan foydalanib hujumchi zararli skriptni tizimga joylashtirishi mumkin.

Bu skript boshqa foydalanuvchilar tomonidan ochilganda ishga tushadi va quyidagi ma’lumotlarni qo‘lga kiritishi mumkin:

  • sessiya tokenlari
  • autentifikatsiya ma’lumotlari
  • ITSM tizimidagi maxfiy axborotlar

Eng muhim jihati — bu hujum boshqa foydalanuvchi sessiyasi kontekstida ishlaydi. Ya’ni, hujumchi o‘zidan yuqori huquqlarga ega foydalanuvchi nomidan harakat qilishi mumkin.

Zaifliklarning xavflilik darajasi va real tahdid

Har ikkala zaiflik “o‘rta daraja” deb baholangan bo‘lsa-da, ularni baholashda quyidagilar inobatga olingan:

  • hujum uchun autentifikatsiya talab qilinadi
  • foydalanuvchi interaksiyasi zarur

Ammo amaliyotda:

  • komprometatsiya qilingan akkauntlar mavjud bo‘lishi mumkin
  • ichki tarmoqdagi tahdidlar ko‘proq uchraydi

Shu sababli bu zaifliklar real muhitda yuqori xavfga aylanishi ehtimoli mavjud.

Qaysi tizimlar ta’sirlangan?

Mazkur zaifliklar:

  • barcha eski versiyalar (2025.3 va undan oldingi)
  • on-premise va cloud muhitlar

uchun dolzarb hisoblanadi.

Farqi shundaki:

  • Cloud foydalanuvchilar: yangilanish avtomatik joriy qilingan
  • On-premise foydalanuvchilar: yangilanishni qo‘lda o‘rnatishi shart

Tavsiyalar va himoya choralar

Mutaxassislar quyidagi choralarni ko‘rishni qat’iy tavsiya etadi:

1. Zudlik bilan yangilash
Ivanti Neurons for ITSM tizimini 2025.4 versiyasiga o‘tkazish zarur.

2. Sessiyalarni nazorat qilish

  • faol sessiyalarni tekshirish
  • noma’lum yoki shubhali sessiyalarni bekor qilish

3. Kirish huquqlarini qayta ko‘rib chiqish

  • eski akkauntlarni o‘chirish
  • ortiqcha privilegiyalarni cheklash

4. XSS hujumlariga qarshi himoya

  • foydalanuvchi kiritmalarini filtrlash
  • xavfsiz kodlash amaliyotlarini qo‘llash

5. Monitoring va audit

  • tizim loglarini muntazam tahlil qilish
  • shubhali faoliyatni aniqlash

Ivanti tomonidan aniqlangan ushbu zaifliklar yana bir muhim haqiqatni eslatadi: kiberxavfsizlikda “kichik muammo” degan tushuncha yo‘q. Hatto o‘rta darajadagi zaifliklar ham noto‘g‘ri qo‘llanilganda katta xavfga aylanishi mumkin.

Ayniqsa, foydalanuvchi sessiyalari va kirish nazorati bilan bog‘liq muammolar tashkilotning ichki xavfsizlik tizimini izdan chiqaradi. Shu bois, har bir tashkilot o‘z tizimlarini doimiy ravishda yangilab borishi, xavfsizlik siyosatini takomillashtirishi va har qanday zaiflikka jiddiy yondashishi zarur.