"Commvault Command Center’da Kritik Güvenlik Açığı: Uzaktan Kod Çalıştırmaya İzin Veriyor"
Commvault Command Center üzerinde keşfedilen kritik bir güvenlik açığı, etkilenen sistemlerde kimlik doğrulaması olmaksızın uzaktan kod çalıştırılmasına olanak tanıyor.
CVE-2025-34028 koduyla takip edilen bu açık, 10 üzerinden 9.0 CVSS puanına sahip ve ciddi bir tehdit olarak sınıflandırılıyor.
Commvault, 17 Nisan 2025 tarihinde yayımladığı güvenlik danışma metninde şu ifadeleri kullandı:
Etkilenen Sürümler ve Güncellemeler
Bu güvenlik açığı, 11.38 Innovation Release serisindeki 11.38.0 ile 11.38.19 arasındaki sürümleri etkiliyor. Aşağıdaki sürümlerde ise sorun giderilmiş durumda:
- 11.38.20
- 11.38.25
Açığı 7 Nisan 2025 tarihinde keşfedip raporlayan watchTowr Labs araştırmacısı Sonny Macdonald, The Hacker News ile paylaştığı raporda, açığın kimlik doğrulaması gerektirmeden uzaktan kod yürütme amacıyla istismar edilebileceğini belirtti.
Açığın Teknik Detayları
Söz konusu güvenlik zafiyeti, “deployWebpackage.do” isimli bir uç noktada yer alıyor. Bu uç nokta, barındırdığı denetimsizlik nedeniyle ön kimlik doğrulamasız Sunucu Tarafı İstek Sahteciliği (SSRF) açığına neden oluyor:
Dahası, bu SSRF açığı kötü amaçlı bir .JSP dosyası içeren ZIP arşivinin kullanılmasıyla kod yürütmeye kadar ilerletilebiliyor. İstismar süreci adım adım şu şekilde gerçekleşiyor:
- /commandcenter/deployWebpackage.do adresine HTTP isteği gönderilerek, Commvault sunucusunun dış bir sunucudan ZIP dosyasını indirmesi sağlanıyor.
- ZIP dosyasının içeriği, saldırganın kontrolündeki bir .tmp dizinine çıkarılıyor.
- servicePack parametresi ile dizin geçişi (directory traversal) yapılarak .tmp klasöründen sunucuda açık bir dizine, örneğin ../../Reports/MetricsUpload/shell yoluna ulaşılıyor.
- SSRF açığı yeniden tetiklenerek deployWebpackage.do aracılığıyla işlem devam ettiriliyor.
- Son olarak, yüklenen kabuk dosyası (örneğin shell.jsp) şu konumdan çalıştırılıyor:
/reports/MetricsUpload/shell/.tmp/dist-cc/dist-cc/shell.jsp
Güvenlik Önerisi ve Tespit Aracı
watchTowr, kuruluşların sistemlerinin bu zafiyete karşı savunmasız olup olmadığını belirlemelerine yardımcı olacak bir Tespit Eseri Üretici (Detection Artefact Generator) aracı da yayınladı.
Yedekleme ve çoğaltma yazılımlarına (örneğin Veeam ve NAKIVO) yönelik zafiyetlerin aktif olarak istismar edildiği bu dönemde, Commvault kullanıcılarının ilgili güncellemeleri en kısa sürede uygulamaları kritik önem taşıyor.
