Commvault: Hochriskante Lücke ermöglicht Einschleusen von Schadcode

In der Backupsoftware Commvault klaffen Sicherheitslücken, die Angreifern unter anderem das Einschleusen von bösartigem Code ermöglichen. Der Hersteller stellt Aktualisierungen bereit, die die Schwachstellen ausbessern.

Die schwerwiegendste Schwachstelle ist vom Typ Path Traversal und erlaubt Angreifern unautorisierte Zugriffe aufs Dateisystem. Das könne zur Ausführung von Schadcode aus dem Netz führen (CVE-2025-57790 / EUVD-2025-25256, CVSS 8.7, Risiko „hoch„). Angreifer benötigen dazu aber zumindest minimale Rechte im System.

Weitere Schwachstellen in Commvault

Aufgrund unzureichender Überprüfungen können Angreifer aus dem Netz zudem Kommandozeilen-Parameter einschleusen oder manipulieren, die an interne Komponenten durchgereicht werden (CVE-2025-57791 / EUVD-2025-25255, CVSS 6.9, Risiko „mittel„). Nicht authentifizierte bösartige Akteure aus dem Netz können außerdem API-Aufrufe ausführen, ohne Zugangsdaten anzugeben. Diese Schwachstelle betrifft einen „bekannten Log-in-Mechanismus“. Rollenbasierte Zugriffskontrollen (RBAC) sollen die Angriffsfläche einschränken, jedoch das Risiko nicht eliminieren können (CVE-2025-57788 / EUVD-2025-25258, CVSS 6.9, Risiko „mittel„).

Nach der Installation stellt Commvault einen Log-in mit Standard-Zugangsdaten bereit. Dies müssen Admins beim ersten Log-in ändern. In dem Zeitraum dazwischen können Angreifer diese Standard-Zugangsdaten jedoch missbrauchen – allerdings können zu diesem Zeitpunkt noch keine Backup-Jobs angelegt sein (CVE-2025-57789 / EUVD-2025-25257, CVSS 5.3, Risiko „mittel„).

Die Sicherheitslücken stopfen die Versionen Commvault für Linux und Windows 11.32.102 sowie 11.36.60 und neuere. Die als „Software as a Service“ (SaaS) bereitgestellten Fassungen hat der Hersteller bereits selbst gepatcht, hier müssen Admins nicht weiter aktiv werden.

Die Backupsoftware von Commvault steht bei Cyberkriminellen hoch im Kurs. Sicherheitslücken darin missbrauchen sie regelmäßig. Im Mai wurde etwa eine Schwachstelle mit Höchstwertung CVSS 10 in Commvault attackiert, die Angreifern ebenfalls Codeschmuggel ermöglichte.

(dmk)