A Commvault lançou atualizações para corrigir quatro falhas de segurança que poderiam ser exploradas para realizar execução de código remoto em instâncias suscetíveis.
A lista de vulnerabilidades, identificadas nas versões da Commvault anteriores à 11.36.60, é a seguinte:
CVE-2025-57788
(pontuação CVSS: 6.9) - Uma vulnerabilidade em um mecanismo de login conhecido permite que atacantes não autenticados executem chamadas de API sem necessidade de credenciais de usuário
CVE-2025-57789
(pontuação CVSS: 5.3) - Uma vulnerabilidade durante a fase de configuração, entre a instalação e o primeiro login do administrador, que permite que atacantes remotos explorem as credenciais padrão para obter controle administrativo
CVE-2025-57790
(pontuação CVSS: 8.7) - Uma vulnerabilidade de path traversal que permite a atacantes remotos realizar acesso não autorizado ao sistema de arquivos através de uma questão de path traversal, resultando em execução de código remoto
CVE-2025-57791
(pontuação CVSS: 6.9) - Uma vulnerabilidade que permite a atacantes remotos injetar ou manipular argumentos de linha de comando passados para componentes internos devido a validação insuficiente de entrada, resultando em uma sessão de usuário válida para um papel de baixo privilégio
Os pesquisadores da watchTowr Labs, Sonny Macdonald e Piotr Bazydlo, foram reconhecidos pela descoberta e relato dos quatro defeitos de segurança em abril de 2025.
Todas as vulnerabilidades indicadas foram resolvidas nas versões 11.32.102 e 11.36.60.
A solução SaaS da Commvault não é afetada.
Em uma análise publicada na quarta-feira, a empresa de cibersegurança disse que os agentes de ameaças poderiam moldar essas vulnerabilidades em duas cadeias de exploração pré-autenticadas para alcançar a execução de código em instâncias suscetíveis: Uma que combina
CVE-2025-57791
e
CVE-2025-57790
, e a outra que une
CVE-2025-57788
,
CVE-2025-57789
e
CVE-2025-57790
.
Vale ressaltar que a segunda cadeia de execução de código remoto pré-autenticada só é bem-sucedida se a senha do admin integrado não tiver sido alterada desde a instalação.
A revelação vem quase quatro meses após os Labs da watchTowr relatarem uma falha crítica no Commvault Command Center (
CVE-2025-34028
, pontuação CVSS: 10.0) que poderia permitir a execução arbitrária de código em instalações afetadas.
Um mês depois, a Agência de Segurança da Infraestrutura e Cibersegurança dos EUA (CISA) adicionou a vulnerabilidade ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), citando evidências de exploração ativa no mundo real.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...