Een kritieke kwetsbaarheid in de back-upsoftware van Commvault maakt het mogelijk voor ongeauthenticeerde aanvallers om op afstand kwetsbare servers via een zip-bestand over te nemen. De impact van het beveiligingslek (CVE-2025-34028) is op een schaal van 1 tot en met 10 beoordeeld met een 10.0. Commvault heeft eerder deze maand een beveiligingsupdate uitgebracht om het probleem te verhelpen.

Commvault Command Center Innovation biedt een webinterface waarmee het mogelijk is om back-ups, restores en "data" in één gecentraliseerde omgeving te beheren. Onderzoekers van securitybedrijf watchTowr ontdekten dat het mogelijk is om een HTTP request naar de Commvault-server te sturen. Dit request zorgt ervoor dat de server een zip-bestand met malafide jsp-bestanden van de server van de aanvaller downloadt. De inhoud van het zip-bestand wordt vervolgens uitgepakt in een .tmp directory waar de aanvaller controle over heeft. Die krijgt zodoende een shell op het systeem.

Commvault werd op 7 april ingelicht en kwam op 10 april met een beveiligingsupdate. WatchTowr heeft nu details over de kwetsbaarheid openbaar gemaakt. Organisaties worden opgeroepen om naar de laatste versie te updaten.