החולשה הזאת יוצאת דופן בכך שכמעט אין עליה פרטים. הרשומה מגדירה אותה כחולשה לא מפורטת בשרת האינטרנט של Commvault, שתוקף מרוחק בעל חשבון יכול לנצל, ומצטטת מהודעת היצרן שאפשר לפגוע בשרתי האינטרנט באמצעות יצירה והרצה של webshell. הציון הוא 8.7, ו-CISA רשמה אותה כמנוצלת בשטח ב-28 באפריל 2025.

מה החולשה?

הרשומה אינה אומרת מה הבאג עושה מבפנים, והיצרן לא פירט. מה שכן ידוע הוא התוצאה, וכאן היא מנוסחת במפורש.

webshell הוא קובץ קוד קטן שתוקף מניח בתוך תיקייה שהשרת מגיש ממנה. מרגע שהוא שם, פנייה רגילה מהדפדפן מפעילה אותו, והתשובה שחוזרת היא הפלט של פקודה שהתוקף ביקש. זו דלת שנפתחת מבפנים, ולכן היא שורדת גם הפעלה מחדש של השרת וגם החלפת סיסמה, כל עוד הקובץ נשאר במקום.

שני פרטים בווקטור קובעים כמה קל להגיע לשם. הפנייה מגיעה מהרשת, אבל היא דורשת הרשאות כלשהן, כלומר חשבון קיים במערכת. זה מוציא מהתמונה את מי שרק מצא את הכתובת ברשת.

מה שכן, חשבון קיים אינו מחסום גבוה במערכת שמשרתת הרבה מנהלים, ופרטי אימות שדלפו ממקום אחר עונים על הדרישה בדיוק כמו חשבון פנימי.

מי מושפע?

לפי הרשומה, ארבעה ענפי גרסאות של Commvault, ב-Windows וב-Linux כאחד: 11.20 שלפני 11.20.217, 11.28 שלפני 11.28.141, 11.32 שלפני 11.32.89, ו-11.36 שלפני 11.36.46.

מערכת הגיבוי אינה משהו שמשתמש פרטי מתקין. זה מוצר של מחלקות תשתית, ומי שמפעיל אותו יודע היטב שהוא מפעיל אותו. אם המספרים למעלה לא אומרים לכם כלום, החולשה הזאת אינה שלכם.

האם מנוצלת בפועל?

כן, והידיעה מגיעה מהיצרן עצמו. הרשומה מפנה לשלושה עדכוני אבטחה של Commvault ללקוחות, וההודעה שמצוטטת בה מדברת על webshell שכבר נוצרו והורצו, לא על תרחיש אפשרי.

ב-28 באפריל 2025 נוספה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, והמועד לתיקון בגופים הפדרליים האמריקאיים נקבע ל-19 במאי 2025.

מה עושים?

1. עדכנו לגרסה המתקנת בענף שלכם: 11.36.46, 11.32.89, 11.28.141 או 11.20.217. עדכון האבטחה של Commvault הוא ההפניה הרשמית, והגרסה המותקנת מוצגת בממשק.

2. חפשו webshell, אל תסתפקו בעדכון. העדכון סוגר את הדרך פנימה, הוא אינו מוחק את מה שכבר נשתל. מה שמחפשים הוא קבצים חדשים בתיקיות שהשרת מגיש מהן, בתאריכים שאינם מתאימים לשום התקנה שביצעתם.

3. עברו על החשבונות. הניצול דורש הרשאות קיימות, ולכן שווה לבדוק מי התחבר, מאיפה ומתי, ולסגור חשבונות שאינם בשימוש.

4. החליפו סיסמאות ומפתחות של חשבונות המערכת. אם חשבון קיים הוא תנאי לניצול, פרטי אימות שדלפו הם הדרך הסבירה שבה תוקף השיג אותו.

5. קראו את שלושת עדכוני הלקוחות שהרשומה מפנה אליהם. הם מתעדכנים לאורך זמן, ומה שכתוב בהם היום מפורט יותר ממה שנכתב ביום הפרסום.