Konsola kopii zapasowych Commvault Command Center dała się przejąć bez logowania przez spreparowane archiwum ZIP. Ocena 10.0, publiczny kod ataku, potwierdzone wykorzystanie. Odetnij konsolę od internetu i zaktualizuj do 11.38.25.
Ten alert jest dla zarządu, CTO i CFO firm, które używają Commvault Command Center do zarządzania kopiami zapasowymi. Werdykt: jeśli macie linię Innovation Release 11.38 sprzed wersji naprawionej, zaktualizujcie do 11.38.25 z najnowszą poprawką dziś i odetnijcie konsolę od internetu, bo bez logowania można ją przejąć, a gotowy kod ataku jest publiczny.
Amerykańska agencja CISA 2 maja 2025 roku dopisała podatność CVE-2025-34028 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy Commvault Command Center, konsoli do zarządzania kopiami zapasowymi. Funkcja przyjmująca archiwum ZIP jako pakiet instalacyjny robiła to bez logowania i nie sprawdzała, dokąd trafiają pliki z jego wnętrza, więc spreparowane archiwum pozwalało zapisać plik wykonywalny i uruchomić kod na serwerze.
Zespół watchTowr zgłosił błąd producentowi, a jego kod demonstracyjny jest publiczny. Biuletyn producenta ukazał się 11 kwietnia 2025 roku, a już 2 maja luka trafiła do KEV. Termin naprawy wyznaczony przez CISA minął 23 maja 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-34028 (biuletyn producenta CV_2025_04_1) |
Data dodania do CISA KEV | 2025-05-02 |
Termin naprawy wg CISA | 2025-05-23 |
Produkt | Commvault Command Center, linia Innovation Release 11.38 (instalacja lokalna) |
Wersje zagrożone | Innovation Release 11.38.0 do 11.38.19 (wg producenta). NVD podaje zakres do 11.38.20, ENISA do 11.38.25. Model w chmurze łata producent. Inne linie niż 11.38 nie są objęte |
Wersje bezpieczne | 11.38.20 z poprawkami SP38-CU20-433 i SP38-CU20-436 albo 11.38.25 z SP38-CU25-434 i SP38-CU25-438. Przy rozbieżności baz aktualizuj do 11.38.25 z najnowszą poprawką |
Typ podatności | Przejście po ścieżce w połączeniu z brakiem uwierzytelnienia, prowadzące do wykonania kodu; CWE-22 i CWE-306 |
Ocena CVSS | NVD: 10.0 (CVSS 3.1, KRYTYCZNA). VulnCheck: 9.3 (CVSS 4.0, KRYTYCZNA). Atak przez sieć, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie firmę kurierską, która przyjmuje paczki z etykietą „gdzie dostarczyć” i rozwozi je bez sprawdzania, kto je nadał. Ktoś nadaje paczkę z etykietą „nie do magazynu, tylko do serwerowni, na główny serwer, uruchom zawartość”. Kurier wykonuje polecenie, bo etykiecie zaufał. W Commvault taką „paczką” było archiwum ZIP, a „etykietą” nazwy plików w środku z sekwencjami „../”, które wyprowadzały je poza przewidziany folder.
Napastnik wkładał do archiwum plik, który serwer aplikacji sam uruchamia po wejściu na odpowiedni adres. Po rozpakowaniu wystarczyło otworzyć ten adres w przeglądarce, żeby serwer uruchomił kod napastnika. Bez konta, bez hasła, bez udziału pracownika. Najgroźniejsze jest to, że celem jest system kopii zapasowych, czyli ostatnia deska ratunku po awarii.
💡 Przejście po ścieżce (path traversal) to sztuczka z nazwą pliku zawierającą „../”, która wyprowadza zapis poza dozwolony folder. Bez uwierzytelnienia oznacza, że napastnik nie potrzebuje konta. JSP to plik, który serwer aplikacji wykonuje jak program. Command Center to konsola zarządzania kopiami zapasowymi Commvault.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Przesłanie pakietu instalacyjnego | Robi to zalogowany administrator | Może to zrobić każdy z internetu |
Rozpakowanie archiwum | Pliki trafiają do folderu pakietu | Pliki mogą trafić w dowolne miejsce na serwerze |
Uruchomienie kodu | Tylko zaufane składniki | Plik napastnika po wejściu na adres w przeglądarce |
Cel ataku | Zwykły serwer | System kopii zapasowych, plan awaryjny firmy |
Reakcja obronna | Alarm o nieudanym logowaniu | Brak: logowanie nie było potrzebne |
źródło: Unsplash, William WarbyPoniżej typowy przebieg ataku dla tej klasy podatności, zgodny z publicznym opisem. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga logowania, a Command Center bywa wystawiony do internetu, więc atak może zacząć każdy, kto dotrze do konsoli. Publiczny kod demonstracyjny ułatwia masowe ataki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie konsol Command Center dostępnych z internetu | Lista podatnych serwerów |
2. Wysłanie archiwum | T+minuty | Przesłanie spreparowanego ZIP-a bez logowania | Pliki zapisane poza przewidzianym folderem |
3. Wykonanie kodu | T+minuty | Wejście przeglądarką na adres wgranego pliku | Kod napastnika działa na serwerze |
4. Przejęcie konsoli | T+godziny | Utrwalenie dostępu, przegląd konfiguracji kopii | Kontrola nad systemem kopii zapasowych |
5. Sabotaż kopii | T+godziny do dni | Skrócenie okresu przechowywania, wyłączenie zadań, usunięcie kopii | Kopie bezużyteczne w razie potrzeby |
6. Uderzenie | T+dni | Szyfrowanie lub kradzież danych, gdy plan awaryjny już nie działa | Przestój bez możliwości szybkiego odtworzenia |
Cały plan na wypadek zaszyfrowania danych opiera się na tym, że system kopii zapasowych jest odrębny i nietknięty. Przejęcie konsoli zarządzającej kopiami odwraca tę logikę: napastnik najpierw psuje kopie, a potem uderza w resztę. Zmiana ustawień w konsoli nie wygląda jak włamanie i nie zapala żadnej lampki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Brak działających kopii w momencie awarii, tygodnie odtwarzania danych zamiast jednego dnia | Ujawnia się przy odtwarzaniu | 50 tys. do 500 tys. PLN (przedłużony przestój) |
Bezpieczeństwo danych | Dostęp do kopii, czyli do całości danych firmy w jednym miejscu | Godziny od przejęcia | 40 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utrata danych nie do odtworzenia, koszty specjalistów, ewentualny okup | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata danych klientów i historii współpracy | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności; utrata danych utrudnia wywiązanie się z obowiązków wobec klientów | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Command Center 11.38 bez poprawki,
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo spełnione są wszystkie warunki: brak logowania, publiczny kod demonstracyjny, EPSS 0,98, a celem jest system kopii, czyli plan awaryjny firmy; konsola dostępna tylko z sieci wewnętrznej i zaktualizowana obniża to ryzyko wyraźnie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma Commvault Command Center i jaką wersję linii 11.38 | Dziś | Administrator kopii zapasowych |
2 | 🔴 NATYCHMIAST | Odciąć konsolę Command Center od dostępu z internetu (zalecenie producenta) | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zaktualizować do 11.38.25 z najnowszą poprawką (SP38-CU25-438) | Dziś lub w najbliższym oknie | Administrator / partner IT |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych plików (np. JSP) i śladów wykonania kodu | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Zweryfikować ustawienia kopii: okresy przechowywania, wyłączone zadania, ostatnie zmiany | Do 3 dni | Administrator kopii |
6 | 🟠 PILNIE | Potwierdzić, że istnieje aktualna kopia przechowywana w trybie tylko do odczytu lub poza siecią | Do 7 dni | Administrator kopii |
7 | 🟡 WAŻNIE | Na zaporze aplikacyjnej włączyć wykrywanie prób przejścia po ścieżce i podejrzanych przesyłek (zalecenie CISA) | Do 14 dni | Administrator sieci |
Producent wydał poprawki dla linii 11.38, a model w chmurze łata sam. Do czasu aktualizacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie konsoli Command Center od internetu (zalecenie producenta) | Wysoka | Łatwa do średniej |
Zapora aplikacyjna blokująca sekwencje „../” i podejrzane przesyłki (zalecenie CISA) | Średnia do wysokiej | Średnia |
Kopia w trybie tylko do odczytu lub odseparowana od sieci | Wysoka jako zabezpieczenie planu awaryjnego | Średnia |
Monitorowanie zmian konfiguracji kopii | Niska jako ochrona, przydatna do wykrycia sabotażu | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Dostęp do konsoli | Możliwy z internetu bez hasła | Tylko z sieci firmowej, po aktualizacji |
Wersja | Linia 11.38 sprzed poprawki | 11.38.25 z najnowszą poprawką |
Ustawienia kopii | Możliwe do cichej zmiany przez napastnika | Zweryfikowane i pod nadzorem |
Odporna kopia | Brak lub niepewna | Kopia tylko do odczytu lub poza siecią |
Ślady włamania | Niesprawdzone | Serwer przejrzany |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg NVD (CVSS 3.1); 9.3 KRYTYCZNA wg VulnCheck (CVSS 4.0) |
PoC dostępny publicznie? | TAK: repozytorium watchTowr (NVD oznacza je jako publiczny kod ataku) |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Zespół watchTowr |
Prognoza EPSS | 0,98, praktycznie pewność prób w ciągu miesiąca (wg analizy źródłowej) |
Trzy bazy podają trzy granice wersji podatnej (producent: do 11.38.19, NVD: do 11.38.20, ENISA: do 11.38.25). Przy takim rozjeździe bierze się najwyższy numer i aktualizuje ponad niego, czyli do 11.38.25 z najnowszą poprawką.
Sygnały zagrożenia dla CVE-2025-34028
CVSS 3.1 (NVD) 10.0/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (VulnCheck) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS 0,98 ████████████████████ praktycznie pewność
CISA KEV TAK ████████████████████ ataki potwierdzone
PoC publiczny TAK ████████████████████ gotowy kod
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-04-11 Biuletyn producenta CV_2025_04_1
2025-04-22 Publikacja CVE-2025-34028 w NVD
2025-04-25 Nadanie numeru CVE do biuletynu
2025-05-02 CISA dodaje lukę do katalogu KEV
2025-05-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad rok od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta z wersjami i obejściem: documentation.commvault.com/securityadvisories/CV_2025_04_1.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-34028 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy używamy Commvault Command Center i w jakim modelu (lokalny czy chmura) | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję i informację, czy konsola jest dostępna z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie konsoli od internetu i aktualizację do 11.38.25 | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera i ustawień kopii pod kątem zmian | CTO | DO JUTRA |
5 | Potwierdzić istnienie odpornej kopii (tylko do odczytu lub poza siecią) | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Sprawdzić, czy plan awaryjny zakłada scenariusz przejęcia systemu kopii | CFO / CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Commvault Command Center i w jakiej linii oraz wersji? | [wersja] | 🔴 |
2 | Czy konsola Command Center jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zaktualizowano ją do 11.38.25 z najnowszą poprawką? | [data] | 🔴 |
4 | Czy sprawdzono serwer pod kątem nieznanych plików JSP i śladów włamania? | TAK / NIE, [data] | 🟠 |
5 | Czy ustawienia kopii (okresy, zadania) są takie, jak powinny być? | TAK / NIE | 🟠 |
6 | Czy mamy kopię w trybie tylko do odczytu lub odseparowaną od sieci? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio testowaliśmy odtworzenie danych z kopii? | [data] | 🟡 |
CVE-2025-34028 pozwala bez logowania przejąć konsolę Commvault Command Center przez spreparowane archiwum ZIP i uruchomić kod na serwerze kopii zapasowych, a gotowy kod ataku jest publiczny. Poprawki są dostępne, termin CISA minął 23 maja 2025 roku, więc odcięcie konsoli od internetu, aktualizacja do 11.38.25 i sprawdzenie ustawień kopii to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.