Skip to content

IXON VPN dasturidagi zaifliklar Windows va Linux tizimlarini xavf ostiga qo‘ymoqda

Kiberxavfsizlik sohasidagi Shelltrail kompaniyasi tomonidan o‘tkazilgan so‘nggi tekshiruvlar natijasida IXON VPN mijoz dasturida uchta jiddiy zaiflik aniqlangani e’lon qilindi. Ushbu zaifliklar orqali tajovuzkorlar foydalanuvchi tizimlarida yuqori darajadagi (root yoki SYSTEM) huquqlarni qo‘lga kiritishi va tizimni to‘liq boshqarib olishi mumkin.

IXON — Gollandiyada joylashgan, sanoat sohasiga mo‘ljallangan masofaviy ulanish va boshqaruv xizmatlarini taqdim etuvchi kompaniya.
IXON o‘z foydalanuvchilariga ixon.cloud portali orqali VPN ulanish xizmatini taklif qiladi. Ulanish uchun foydalanuvchilar portal orqali IXON VPN mijoz dasturini yuklab olishlari kerak. Bu dastur:

  • Linux tizimlarida root huquqlari bilan,
  • Windows tizimlarida esa SYSTEM vakolatida ishlaydi.

Mijoz dasturi foydalanuvchi kompyuterida lokal web-serverni (https://localhost:9250) ishga tushiradi va VPN ulanishni tashkil qiladi.

Aniqlangan zaifliklar tafsilotlari

Shelltrail mutaxassislari tomonidan uchta asosiy zaiflik aniqlangan:

1. CVE-2025-ZZZ-01 — Sir saqlanayotgan zaiflik

Bu zaiflik haqida hozircha batafsil ma’lumot berilmagan. Sababi — IXON kompaniyasi tomonidan rasmiy tuzatma chiqqanidan keyin oshkor qilinadi.
Shelltrail kompaniyasi foydalanuvchilarning xavfsizligini ta’minlash maqsadida bu zaiflikni oshkor qilishni hozircha kechiktirdi.

2. CVE-2025-ZZZ-02 — Linux tizimida lokal huquqlarni oshirish (LPE)

Muammo:

  • Linux tizimida VPN mijoz dasturi vaqtinchalik OpenVPN konfiguratsiya faylini /tmp/vpn_client_openvpn_configuration.ovpn joyida saqlaydi.
  • Ushbu manzil ochiq va bashorat qilinadigan bo‘lgani uchun, hujumchi mkfifo komandasi orqali FIFO (named pipe) yaratishi va soxta konfiguratsiya faylini tayyorlashi mumkin.
  • VPN dasturiy ta’minoti bu faylni o‘qib, ichidagi zararli buyruqlarni root huquqi bilan bajaradi.

Hujum sharti:

  • Hujum muvaffaqiyatli bo‘lishi uchun tizimda haqiqiy VPN ulanishi talab qilinadi.
  • Soxta konfiguratsiyada OpenVPN parametrlari orqali zararli skriptlar ishga tushiriladi (tls-verify va script-security 2 orqali).

3. CVE-2025-ZZZ-03 — Windows tizimida lokal huquqlarni oshirish (LPE)

Muammo:

  • Windows tizimida vaqtinchalik OpenVPN konfiguratsiya fayli C:\Windows\Temp papkasida saqlanadi.
  • Oddiy foydalanuvchilar ham bu papkada fayl yaratishi va o‘zgartirishi huquqiga ega.

Hujum ssenariysi:

  • Hujumchi PowerShell yordamida ushbu faylni uzluksiz ravishda zararli versiyaga almashtirib turadi (race condition).
  • VPN dasturi zararli faylni o‘qib, natijada tajovuzkor SYSTEM darajasida kod bajarilishiga erishadi.

E’tiborli jihat:

  • Linuxdagi hujumdan farqli ravishda bu usul VPN ulanishi talab qilmaydi, bu esa uni yanada xavfli qiladi.

IXON VPN mijoz dasturi bulut portali (ixon.cloud) bilan ishlash jarayonida foydalanuvchi ma’lumotlarini va qurilma identifikatorini lokal web-serverga yuboradi.
Bu server esa OpenVPN konfiguratsiya faylini olib keladi va uni vaqtincha kompyuterda saqlaydi.
Faylni xavfsiz saqlash mexanizmi yetarlicha kuchli bo‘lmagani uchun, zaifliklar yuzaga kelgan.

IXON tomonidan ko‘rilgan chora-tadbirlar

  • 1.4.4 versiyadan boshlab IXON VPN mijoz dasturida bu zaifliklar bartaraf etildi.
  • Yangi versiyada vaqtinchalik konfiguratsiya fayllari faqat yuqori huquqli foydalanuvchilar kirishi mumkin bo‘lgan joyda saqlanadi.
  • Sir saqlanayotgan CVE-2025-ZZZ-01 zaifligi ustida ham ishlov berilmoqda.

📢 Foydalanuvchilarga darhol quyidagi amallarni bajarish tavsiya qilinadi:

  • IXON VPN mijoz dasturini 1.4.4 yoki undan yangi versiyaga yangilang.
  • Rasmiy xavfsizlik xabarnomasini o‘qing:

IXON VPN mijoz dasturida aniqlangan zaifliklar sanoat tizimlari uchun juda jiddiy xavf tug‘diradi.
Sababi, hujumchilar:

  • Root yoki SYSTEM huquqlarini qo‘lga kiritishi,
  • Tizimni butunlay nazorat ostiga olishi,
  • Maxfiy ma’lumotlarni o‘g‘irlashi,
  • Yashirincha zararli dasturlar joylashtirishi mumkin.

Bu hodisa sanoat tizimlari uchun VPN xizmatlarining qanchalik ehtiyotkorlik bilan tekshirilishi va muntazam ravishda yangilanishi zarurligini yana bir bor ko‘rsatib berdi.

Kiberxavfsizlik — texnologik taraqqiyotning ajralmas qismidir!