Skip to content

HiveOS: Tizim zaifliklari va ularni tuzatish yo‘llari

So‘nggi paytlarda kiberxavfsizlik mutaxassislari tomonidan Extreme Networks’ IQ Engine (HiveOS) operatsion tizimida uchta jiddiy zaiflik aniqlandi. Bu zaifliklar orqali autentifikatsiyadan o‘tgan tajovuzkorlar tizimda imtiyozlarni oshirish, parollarni deshifrlash va istalgan buyruqlarni bajarish imkoniga ega bo‘lishlari mumkin.

Bu zaifliklar quyidagicha tasniflangan:

  • CVE-2025-27229 – SSH tunellarni noto‘g‘ri sanitizatsiya qilish orqali root imtiyozlarini qo‘lga kiritish.
  • CVE-2025-27228 – Kamchilikka ega bo‘lgan shifrlash algoritmi orqali parollarni deshifrlash.
  • CVE-2025-27227 – SSID konfiguratsiyasidagi zaiflik orqali buyruqlarni bajarish.

Extreme Networks ushbu zaifliklarni bartaraf etish uchun 10.7r5 versiyasidagi yangilangan dasturiy ta’minotni e’lon qildi.

Zaifliklar Tafsiloti

1. CVE-2025-27229 – SSH orqali Root huquqlarini olish

HiveOS ning 10.7r5 versiyasidan oldingi nusxalarida SSH tunel konfiguratsiyasi to‘g‘ri tekshirilmagan. Natijada, tizimga kirish huquqiga ega bo‘lgan xakerlar ssh parametrlari yordamida sshd xizmati orqali zararli buyruqlarni kiritish va root huquqlariga ega bo‘lishlari mumkin.

Bu ekspluat tunnel.c modulidagi environment variables (masalan, PermitRootLogin va AllowTcpForwarding) kodni xavfsiz boshqarmaslik natijasida yuzaga keladi.

2. CVE-2025-27228 – Parollarni deshifrlash

HiveOS’ning buyruq qatori interfeysi (CLI) da foydalanuvchi parollari deterministik shifrlash algoritmi yordamida saqlanadi. Ushbu zaiflik tufayli autentifikatsiyadan o‘tgan tajovuzkorlar quyidagi buyruqni ishlatib, parollarni deshifrlashi mumkin:

show running-config | decrypt -iv 0x3F7A

Shifrlangan parollar AES-256-CBC yordamida kodlangan bo‘lsa-da, statik IV ishlatilgani sababli ularni GPU yordamida 90 soniya ichida buzish mumkin.

3. CVE-2025-27227 – SSID konfiguratsiyasi orqali buyruqlar bajarish

HiveOS da SSID sozlamalari noto‘g‘ri sanitizatsiya qilingani sababli, foydalanuvchi SSID nomi ichiga yangi satr belgilarini (\n) kiritib tizimda buyruqlarni bajara oladi. Masalan, quyidagi SSID yaratilsa:

Malicious_SSID\n/bin/bash -c ‘rm -rf /’

tizim buyruqni bajaradi va muhim fayllarni o‘chirish yoki zararli kod ishga tushirish imkoniyati paydo bo‘ladi.

Zaiflik parse_ssid() funksiyasidagi scanf() chaqiruvining sanitizatsiyasiz ishlashi sababli yuzaga kelgan.

HiveOS dagi ushbu uchta zaiflik birgalikda korxona tarmoqlari uchun jiddiy tahdid tug‘diradi. Xususan:

✅ CVE-2025-27228 yordamida xakerlar administrator parollarini ochib olishi mumkin.

✅ CVE-2025-27229 orqali tizimda root imtiyozlariga ega bo‘lish mumkin.

✅ CVE-2025-27227 orqali tizimga orqa eshik (backdoor) o‘rnatish imkoniyati mavjud.

Ushbu zaifliklarni ekspluat qilish uchun oddiy Python va Linux utilitalaridan foydalanish yetarli bo‘ladi. Ayniqsa, paramiko (Python SSH kutubxonasi) yordamida tizimga tajovuz qilish osonlashadi.

Extreme Networks AP4000 seriyali IoT qurilmalar va simsiz kontrollerlar ta’sir doirasiga tushgan.

Extreme Networks kompaniyasi 10.7r5 versiyasidagi yangilanishlar bilan quyidagi muammolarni bartaraf etdi:

🔹 CVE-2025-27229 – SSH argumentlarini faqat ma’lum belgilarga ruxsat beruvchi regex filtrlash (^[a-zA-Z0-9_=-]+$) yordamida sanitizatsiya qilindi.

🔹 CVE-2025-27228 – Parollar Argon2id yordamida himoyalandi, PBKDF2 hashing 100,000 iteratsiya bilan ishlaydi.

🔹 CVE-2025-27227 – SSID kiritmalarining uzunligi strnlen() va strlcpy() orqali cheklangan.

Maqsadli Tavsiyalar

1️⃣ Tizim yangilanishlarini amalga oshirish

  • Extreme Networks tomonidan chiqarilgan 10.7r5 versiyasini o‘rnatish.
  • Agar qurilma EOL (End-of-Life) statusiga yetgan bo‘lsa, yangi qurilmalarga o‘tish tavsiya etiladi.

2️⃣ SSH konfiguratsiyasini tekshirish

  • SSH portlarini va ularga yo‘naltirilgan trafikni tahlil qilish.
  • Root foydalanuvchi uchun ruxsat berilmaganligiga ishonch hosil qilish.

3️⃣ Buyruq qatori faoliyatini kuzatish

  • CLI faoliyat jurnallarini tahlil qilish, ayniqsa parol deshifrlash urinishlari uchun.

4️⃣ Tarmoq xavfsizligini mustahkamlash

  • Tizimni izolyatsiya qilish, lateral hujumlarning oldini olish uchun segmentatsiyalash.
  • Anomal faoliyat uchun IDS/IPS xavfsizlik tizimlaridan foydalanish.

HiveOS dagi CVE-2025-27229, CVE-2025-27228 va CVE-2025-27227 zaifliklari kiberjinoyatchilar uchun kuchli qurolga aylanishi mumkin. Hujumchilar bu kamchiliklardan foydalanib, butun korporativ tarmoqlarni boshqarish huquqini qo‘lga kiritishi mumkin.

Extreme Networks tomonidan chiqarilgan 10.7r5 versiyasi ushbu muammolarni hal qiladi. Shu sababli, barcha HiveOS foydalanuvchilari tizimni tezroq yangilashlari shart!

Kiberxavfsizlik faqat texnik choralarga emas, balki uzluksiz monitoring va profilaktik xavfsizlik amaliyotlariga ham bog‘liq. Xavfsizligingizni mustahkamlashni ortga surmang!