Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-22
  • CWE-306

CVE-2025-34028

Commvault Command Center'da kimlik doğrulamasız yol atlatma ile uzaktan kod çalıştırma

Commvault Command Center Innovation Release

Kritik 9,3 CVSS 4.0
Yayımlandı
Güncellendi
29 Kas 2025
Açık yaşı
554 gün
Kaydı açan
VulnCheck
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 May 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 23 May 2025.

Yönetici özeti

Kurumun yedekleme yönetim yazılımındaki bu açık, internetten herhangi birinin giriş yapmadan sunucuyu ele geçirmesine izin verebilir. Açık halihazırda gerçek saldırılarda kullanılmaktadır ve yedeklerin silinmesi veya çalınması riski taşır. Güncelleme acilen uygulanmalıdır.

ÖzetTürkçe

Commvault Command Center Innovation Release, kimlik doğrulaması yapmadan yüklenen ZIP biçimindeki kurulum paketlerini işlerken yol atlatma (path traversal) açığı içermektedir. Saldırgan, sunucu tarafından açılan paket içine yerleştirdiği zararlı bir JSP dosyasını istediği dizine yazdırabilir. Açık, Innovation Release 11.38.0 ile 11.38.25 arasındaki sürümleri etkilemektedir. Zafiyet CISA KEV listesinde yer almaktadır ve aktif olarak istismar edildiği bilinmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan, hedef sunucuda uzaktan kod çalıştırabilir ve yedekleme altyapısı üzerinde tam kontrol elde edebilir. Bu durum verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini ciddi biçimde tehlikeye atar.

Kaynaktaki açıklama (İngilizce)

The Commvault Command Center Innovation Release allows an unauthenticated actor to upload ZIP files that represent install packages that, when expanded by the target server, are vulnerable to path traversal vulnerability that can result in Remote Code Execution via malicious JSP.

This issue affects Command Center Innovation Release: 11.38.0 to 11.38.20. The vulnerability is fixed in 11.38.20 with SP38-CU20-433 and SP38-CU20-436 and also fixed in 11.38.25 with SP38-CU25-434 and SP38-CU25-438.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Ne yapmalı?

  1. Commvault'un yayımladığı düzeltmeleri uygulayın: 11.38.20 sürümü için SP38-CU20-433 ve SP38-CU20-436, 11.38.25 sürümü için SP38-CU25-434 ve SP38-CU25-438 paketlerini kurun. Genel öneri
  2. CISA'nın gereği doğrultusunda üreticinin yönergelerindeki önlemleri uygulayın; önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
  3. Yama uygulanana kadar Command Center arayüzünün internetten erişimini engelleyin veya yalnızca güvenilir yönetim ağlarına açın. Genel öneri
  4. Sunucuda zafiyetin istismar edilip edilmediğini kontrol edin; beklenmeyen JSP dosyaları, yeni oluşturulmuş dosyalar ve olağandışı süreçleri araştırın. Genel öneri

Ek önlemler

  • Yedekleme yönetim arayüzlerini doğrudan internete açmayın; VPN veya IP kısıtlaması ile erişimi sınırlandırın. Genel öneri
  • Web sunucusu ve uygulama günlüklerinde kimlik doğrulamasız paket yükleme isteklerini ve şüpheli ZIP yüklemelerini izleyin. Genel öneri
  • Sunucu hesabının yetkilerini en aza indirin ve yedek verilerin değiştirilemez (immutable) veya çevrimdışı kopyalarını bulundurun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Commvault Command Center Innovation Release ≥ 11.38.0, ≤ 11.38.25 –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.