«Commvault» zaxira tizimida xavfli zaiflik aniqlandi

So‘nggi paytlarda kiberxavfsizlik olamida yana bir jiddiy tahdid paydo bo‘ldi. Dasturiy ta’minot orqali ma’lumotlarni himoya qilishga ixtisoslashgan mashhur Commvault platformasida avtorizatsiyani chetlab o‘tuvchi masofaviy kod bajarish (RCE) zaifligi aniqlandi. Bu zaiflik tufayli hujumchilar hech qanday parol yoki tizimga kirish ma’lumotlarisiz serverda o‘z kodini ishga tushirishi mumkin.

CVE-2025-34028 raqami bilan qayd etilgan ushbu zaiflikga CVSS bo‘yicha maksimal 10.0 ball berilgan bo‘lib, bu uni «yuqori darajadagi» tahdidga aylantiradi.

Tadqiqotchilar bu muammoni Commvault’ning “Innovation Release” deb nomlangan maxsus versiyalarida — 11.38.0 dan 11.38.19 gacha bo‘lgan nashrlarida aniqlagan. Zaiflik web boshqaruv interfeysida joylashgan deployWebpackage.do va deployServiceCommcell.do nomli endpointlar orqali sodir bo‘ladi.

Mazkur funksiyalar authSkipRules.xml konfiguratsiya faylida autentifikatsiyadan istisno qilingan, ya’ni ularga murojaat qilish uchun hech qanday login-parol talab qilinmaydi. Shunday qilib, internet orqali ulanadigan har qanday hujumchi zaif tizimga to‘g‘ridan-to‘g‘ri hujum uyushtirishi mumkin.

Tadqiqotchilar tomonidan ishlab chiqilgan Proof-of-Concept (PoC) hujum senariysi quyidagi bosqichlardan iborat:

  1. Hujumchi Commvault serveriga maxsus HTTP so‘rov yuboradi.
  2. Ushbu so‘rov orqali Server-Side Request Forgery (SSRF) zaifligi ishga tushadi va server hujumchining nazoratidagi manbadan ma’lumot yuklab oladi.
  3. ZIP fayl ichidagi zararli JSP fayllar tizimdagi maxfiy kataloglarga joylashtiriladi.
  4. Keyinchalik hujumchi bu fayllarni web interfeys orqali ishga tushiradi, natijada o‘z kodini serverda bajartiradi.

Bu zaiflik orqali nafaqat tizimga kirish, balki uning asosiy funksiyalarini boshqarish ham mumkin bo‘ladi — xuddi server egasiday.

Zaxira nusxa va replikatsiya yechimlari bugungi kunda kiberxavfsizlik strategiyalarining asosiy qismini tashkil qiladi. Ransomware (tovon dasturlari)ga qarshi kurashda zaxira nusxalari eng so‘nggi umid sifatida qaraladi. Ammo, agar hujumchilar aynan zaxira tizimining o‘zini egallasa-chi? Bunday holatda tashkilot butunlay falaj bo‘lib qoladi.

Tadqiqotchilar ushbu zaiflik Commvault’da keng tarqalgan avtomatlashtirish va integratsiya imkoniyatlarini inobatga olgan holda ko‘p hollarda tizimdagi boshqa maxfiy ma’lumotlarga ham yo‘l ochib berishi mumkinligini ogohlantirmoqda.

Commvault ushbu zaiflikni 11.38.20 versiyasida tuzatgan. Shu sababli, barcha foydalanuvchilarga zudlik bilan yangilanish tavsiya etiladi.

Agar hozircha yangilanish imkoni bo‘lmasa, quyidagi choralarni ko‘rish mumkin:

  • Tarmoq darajasida himoya o‘rnatish: faqat kerakli manzillargagina kirish ruxsatini berish.
  • TLS (HTTPS) orqali shifrlangan ulanishlarni yoqish va klient sertifikatlariga asoslangan autentifikatsiyani joriy etish.
  • authSkipRules.xml faylini tekshirib, autentifikatsiyasiz kirish mumkin bo‘lgan endpointlarni cheklash.
  • Server loglarini tahlil qilish va shubhali so‘rovlarga monitoring o‘rnatish.

Tashkilotlar o‘z ma’lumotlarini himoya qilish uchun ko‘plab choralar ko‘rmoqda. Ammo, bu ma’lumotlarni saqlovchi tizimlarning o‘zi zaif bo‘lsa, butun himoya kontseptsiyasi so‘roq ostida qoladi. Commvault’dagi bu zaiflik — ogohlantiruvchi signal.

Vaqt — eng muhim omil. Chunki zaiflik bo‘yicha PoC kod allaqachon ommaga e’lon qilingan. Bu esa jinoyatchilarning imkoniyat doirasini kengaytiradi. Yangilanishni kechiktirmang — bu zaxira emas, asosiy himoya vositangiz!