Commvault
Уязвимости
10
Эксплуатируемые
2
Макс. CVSS
9.8
Макс. EPSS
0.97134
Распределение по критичности
Критический
2
Высокий
3
Средний
4
Низкий
1
Затронутые диапазоны версий
11.20.0–11.20.21711.20.0–11.32.6011.32.0–11.32.9311.36.0–11.36.6811.38.0–11.38.20< 11.36.60≤ 11.0
Также сопоставлено как (исходные строки): commvault
Топ уязвимостей
CVE-2017-18044Проблема Command Injection была обнаружена в ContentStore/Base/CVDataPipe.dll в Commvault до v11 SP6. Определенная функция разбора сообщений внутри службы Commvault неправильно проверяет входные данные входящей строки перед передачей ее в CreateProcess. В результате специально созданное сообщение может внедрять команды, которые будут выполняться в целевой операционной системе. Эксплуатация этой уязвимости не требует аутентификации и может привести к привилегиям уровня SYSTEM на любой системе, работающей под управлением cvd daemon. Это уязвимость отличается от CVE-2017-3195.
CVE-2025-34028Уязвимость обхода пути в Commvault Command Center Innovation Release позволяет неаутентифицированному злоумышленнику загружать ZIP-файлы, которые при распаковке на целевом сервере приводят к выполнению произвольного кода через вредоносный JSP-код [1]. Эта проблема затрагивает Command Center Innovation Release: с 11.38.0 по 11.38.20. Уязвимость исправлена в версии 11.38.20 с дополнительными обновлениями SP38-CU20-433 и SP38-CU20-436, а также в версии 11.38.25 с SP38-CU25-434 и SP38-CU25-438. Для устранения уязвимости рекомендуется обновить Command Center до исправленной версии или изолировать его от внешнего сетевого доступа.
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_04_1.html
CVE-2025-57790Обнаружена уязвимость, позволяющая удаленным злоумышленникам выполнять неавторизованный доступ к файловой системе через проблему обхода пути. Уязвимость может привести к удаленному выполнению кода [1].
Для устранения уязвимости необходимо установить исправленное обновление на сервере Web Server. Подробную информацию о подверженных версиях и обновлениях см. в таблице в справке [1].
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_08_2.html
CVE-2025-3928Commvault Web Server содержит неуточненную уязвимость, которая может быть использована удаленным аутентифицированным злоумышленником для создания и выполнения веб-оболочек. Исправлено в версиях 11.36.46, 11.32.89, 11.28.141 и 11.20.217 для платформ Windows и Linux. Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html
- [2] https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2025-3928
- [3] https://www.commvault.com/blogs/security-advisory-march-7-2025
- [4] https://www.commvault.com/blogs/notice-security-advisory-update
CVE-2024-13975В Commvault для Windows версий 11.20.0, 11.28.0, 11.32.0, 11.34.0 и 11.36.0 существует уязвимость локального повышения привилегий. В уязвимых конфигурациях локальный злоумышленник, владеющий клиентской системой с установленным агентом файлового сервера, может скомпрометировать назначенные узлы доступа Windows. Это может привести к несанкционированному доступу или боковому перемещению внутри инфраструктуры резервного копирования. Проблема была устранена в версиях 11.32.60, 11.34.34 и 11.36.8 [1].
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2024_09_1.html
- [2] https://www.vulncheck.com/advisories/commvault-for-windows-access-nodes-compromise
CVE-2025-57791Обнаружена уязвимость, позволяющая удаленным злоумышленникам внедрять или манипулировать аргументами командной строки, передаваемыми внутренним компонентам, из-за недостаточной проверки входных данных. Успешная эксплуатация приводит к созданию валидной пользовательской сессии с правами низкого уровня [1].
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_08_1.html
CVE-2025-57788Уязвимость в известном механизме входа Commvault позволяет неаутентифицированным злоумышленникам выполнять вызовы API без ввода учетных данных пользователя. Хотя RBAC ограничивает воздействие, риск остается.
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_08_3.html
CVE-2025-34136В компоненте Web Server Commvault версий 11.32.0 - 11.32.93, 11.36.0 - 11.36.51 и 11.38.0 - 11.38.19 существует уязвимость SQL-инъекции, позволяющая удалённому неаутентифицированному злоумышленнику выполнить SQL-инъекцию. Проблема затрагивает системы, где установлены роли CommServe и Web Server. Для устранения уязвимости необходимо установить исправления на сервере CommServe, Web-серверах и Command Center. Если обновление невозможно, рекомендуется изолировать Command Center и Web Server от внешнего сетевого доступа [1].
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_04_2.html
- [2] https://www.vulncheck.com/advisories/commvault-commserve-web-server-unauth-sqli
CVE-2025-57789Во время короткого окна между установкой и первым входом администратора удаленные злоумышленники могут использовать учетные данные по умолчанию, чтобы получить контроль над администратором. Это ограничено фазой настройки, до настройки каких-либо задач [1].
Источники:
- [1] https://documentation.commvault.com/securityadvisories/CV_2025_08_4.html
CVE-2025-12776Компонент Report Builder приложения хранит пользовательский ввод непосредственно на веб-странице и отображает его другим пользователям, что вызывает опасения по поводу возможной атаки Cross-Site Scripting (XSS). Правильное управление этой функциональностью помогает обеспечить безопасный и бесшовный пользовательский опыт. Хотя пользовательский ввод не проверяется при создании отчета, эти скрипты не выполняются, когда отчет запускается конечными пользователями. Сценарий выполняется, когда отчет изменяется через конструктор отчета пользователем с разрешениями на редактирование.
Конструктор отчетов является частью WebConsole. Пакет WebConsole в настоящее время является концом жизни и больше не поддерживается. Мы настоятельно рекомендуем не устанавливать или использовать его в любой производственной среде. Однако, если вы решите установить его, например, для доступа к таким функциям, как Report Builder, он должен быть развернут в полностью изолированной сети, которая не имеет доступа к конфиденциальным данным или подключению к Интернету. Это является критической мерой предосторожности, поскольку выведенный из эксплуатации пакет может содержать неисправленные уязвимости и больше не поддерживается обновлениями или исправлениями.