Vulnérabilité critique de type RCE - Commvault - CVE-2025-57788, CVE-2025-57789, CVE-2025-57790, CVE-2025-57791

Produits concernés

• Commvault 11.32.0 jusqu’à 11.32.101

• Commvault 11.36.0 jusqu’à 11.36.59

• Commvault 11.38.20 jusqu’à 11.38.25

Prérequis

• Commvault en version vulnérable

• Accès à la Console CommCell

Risques

• Exécution de code arbitraire

• Accès au réseau interne de l’entreprise

• Déploiement de malware sur l’actif

• Suppression des sauvegardes de l’entreprise

Résumé

Commvault Software a publié plusieurs avis de sécurité sur des vulnérabilités critiques affectant les solutions Commvault. Le niveau de criticité des différentes CVE s’étendent de 6,9 à 8,7.

- CVE-2025-57791 : Permet à des attaquants distants d'injecter ou de manipuler des arguments de ligne de commande transmis à des composants internes en raison d'une validation insuffisante des entrées. Une exploitation réussie génère une session utilisateur valide pour un rôle à faibles privilèges.

- CVE-2025–34028 : Permet à des attaquants distants d'accéder sans autorisation au système de fichiers via un problème de path traversal. Cette vulnérabilité peut conduire à l'exécution de code à distance.

-CVE-2025-57789: Une vulnérabilité lors de la phase de configuration entre l'installation et la première connexion administrateur qui permet aux attaquants distants d'exploiter les informations d'identification par défaut pour obtenir des droits admin

L’exploitation de l’une de ces CVE pourrait permettre à l’attaquant à minima une compromission complète du système, l’exposition et l’exfiltration de données sensibles, ainsi que l’accès et la perturbation su système de sauvegarde.

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la vulnérabilité à son catalogue de vulnérabilités exploitées connues (KEV), citant des preuves d'exploitation active dans la nature.

Étant donné le risque associé, nous préconisons de corriger ces vulnérabilités sans plus attendre.

Solutions

Détection de la compromission :

Afin de vérifier si un équipement est compromis, il est possible de :

• Auditer les logs API pour repérer la création d’un Token API valide pour une session utilisateur pour un compte à faibles privilèges. (fichiers web-debug.log, rest.log, application.log) pour détecter des requêtes inhabituelles, présence de shell ….

• Rechercher des fichiers exécutables non autorisés dans les répertoires système (/, /root, /var, /opt)

• Vérifier la présence d’un webshell de type JavaServer Pages(JSP) dans webroot.

Remédiation :

Mettre à jour selon la version vulnérable:

• Commvault 11.32.0 jusqu’à 11.32.101 ⇒ Mettre à jour en 11.32.102

• Commvault 11.36.0 jusqu’à 11.36.59 ⇒ Mettre à jour en 11.36.60

• Commvault 11.38.20 jusqu’à 11.38.25 ⇒ Mettre à jour en 11.38.32

Le détail est disponible dans les liens en références.