Commvault Command Center הוא ממשק הניהול של מערכת הגיבוי של Commvault, המסך שממנו מגדירים מה מגובה, לאן ומתי. לפי הרשומה, בגרסאות 11.38.0 עד 11.38.20 אפשר לשלוח אליו קובץ ZIP בלי להזדהות כלל, והשרת פורס אותו לנתיב שהתוקף בוחר. הציון הוא 9.3, ו-CISA רשמה את החולשה כמנוצלת בשטח ב-2 במאי 2025.

מה החולשה?

ארכיון ZIP אינו רק אוסף של קבצים. הוא אוסף של קבצים ולידו רשימה של השמות שבהם הם אמורים להיכתב. שרת שפורס ארכיון קורא את הרשימה הזאת ומחבר כל שם לנתיב של תיקיית היעד, ואם השם שרשום בארכיון נושא בתוכו ניווט אל התיקייה שמעל, הכתיבה נוחתת מחוץ ליעד. הרשימה הגיעה מהתוקף, ולכן גם הבחירה איפה לכתוב היא שלו. למשפחה הזאת קוראים Path Traversal.

Commvault מקבלת ארכיונים כאלה כחלק מתהליך לגיטימי, התקנה של חבילות. לפי הרשומה הפנייה הזאת אינה דורשת שום הזדהות, כך שכל מי שמגיע לממשק ברשת יכול לשלוח אליה ארכיון משלו.

מה שהופך את זה מכתיבת קובץ להשתלטות הוא סוג הקובץ. הרשומה מציינת JSP, קוד שרץ בתוך שרת האפליקציה עצמו. קובץ כזה שנוחת בתיקייה שהשרת מגיש ממנה אינו יושב שם כקובץ סתם, הוא נפתח בבקשה רגילה מהדפדפן והשרת מריץ אותו. מכאן מדובר בהרצת קוד בהרשאות של תהליך השרת.

וכאן נכנס לתמונה מה שהשרת הזה הוא. מערכת גיבוי מחזיקה, מעצם תפקידה, גישה למה שהיא מגבה.

מי מושפע?

לפי הרשומה, Commvault Command Center Innovation Release בגרסאות 11.38.0 עד 11.38.20.

זה אינו מוצר של משתמשים פרטיים. Commvault היא מערכת גיבוי ארגונית, כזאת שמותקנת בארגונים עם הרבה מידע לגבות, ומשתמש פרטי בישראל אינו נתקל בה. אם אתם לא מנהלים גיבויים בארגון, העמוד הזה אינו עליכם. אם כן, בדקו את גרסת ה-Command Center עוד היום.

האם מנוצלת בפועל?

כן. ב-2 במאי 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-23 במאי 2025.

הרשומה מפנה גם לניתוח של watchTowr ולקוד הדגמה פומבי שפורסם ב-GitHub. קוד הדגמה זמין מקצר מאוד את הדרך בין פרסום החולשה לבין סריקות רחבות שמחפשות אותה.

מה עושים?

1. עדכנו. לפי הרשומה התיקון נמצא בגרסה 11.38.20 עם SP38-CU20-433 או SP38-CU20-436, וגם בגרסה 11.38.25 עם SP38-CU25-434 או SP38-CU25-438. הודעת היצרן היא ההפניה הרשמית למספרי החבילות.

2. הוציאו את ה-Command Center מהאינטרנט. הפנייה אינה דורשת הזדהות, ולכן חשיפה חיצונית שווה כאן לדלת פתוחה. ממשק שמנהל גיבויים אינו צריך להיות נגיש מחוץ לרשת הארגונית.

3. אם הממשק כן היה חשוף, אל תסתפקו בעדכון. חפשו קבצי JSP שנוצרו בתיקיות ההגשה של השרת בתאריכים שאתם לא מזהים, ועברו על הלוגים אחרי העלאות שלא אתם יזמתם.

4. החליפו את פרטי האימות ששמורים במערכת הגיבוי. תוקף שהריץ קוד על השרת הזה יכול היה להגיע לכל מה שהמערכת מחזיקה כדי לעשות את עבודתה.