Summary
Commvault heeft een kwetsbaarheid verholpen in Command Center.
Details
Interpretaties
De kwetsbaarheid kan door een ongeauthenticeerde kwaadwillende op afstand worden misbruikt voor het uitvoeren van willekeurige code. Hiertoe dient een speciaal vervaardigd http-verzoek naar de kwetsbare applicatie te worden verstuurd met daarin een verwijzing naar een malafide zip-bestand. De kwetsbare applicatie downloadt vervolgens dit zip-bestand en pakt de bestanden die daarin staan uit. Op die manier kan de kwaadwillende via bijvoorbeeld een webshell code op het kwetsbare systeem uitvoeren. CISA heeft op 02-05-2025 aangegeven dat de kwetsbaarheid actief wordt misbruikt.
Oplossingen
Commvault heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 1
-
Critical 9.3
Commvault Command Center Innovation Release <= 11.38.25 Unathenticated Install Package Path Traversal
The Commvault Command Center Innovation Release allows an unauthenticated actor to upload ZIP files that represent install packages that, when expanded by the target server, are vulnerable to path traversal vulnerability that can result in Remote Code Executi…
KEV May 2, 2025
Revision history
-
#1.0.1
Actief misbruik door CISA waargenomen van CVE-2025-34028.
-
#1.0.0
Initiele versie
References
-
Reference - cisagov; cveprojectv5; nvd
https://documentation.commvault.com/securityadvisories/CV_2025_04_1.html
-
Reference - cisagov
https://nvd.nist.gov/vuln/detail/CVE-2025-34028
-
Reference - ncscclear
https://www.cisa.gov/news-events/alerts/2025/05/02/cisa-adds-two-known-exploited-vulnerabilities-catalog