Ernstige kwetsbaarheid ontdekt in Command Center van Commvault

Het gaat om CVE-2025-34028, die versies 11.38.0 tot 11.39.19 van zowel de Windows- als Linux-versie van Command Center treft. De kwetsbaarheid is gedicht in versie 11.38.20. Deze update hoort automatisch te worden uitgerold naar kwetsbare systemen, zonder dat hiervoor handmatige handelingen nodig zijn. De kwetsbaarheid is ontdekt door het bedrijf watchTowr.

Pre-auth Server-Side Request Forgery

Het gaat om een zogeheten pre-auth Server-Side Request Forgery (SSRF) kwetsbaarheid. Aan dergelijke kwetsbaarheid geeft aanvallers de mogelijkheid een server ongeautoriseerde verzoeken te laten versturen naar interne of externe systemen. "Deze kwetsbaarheid beïnvloedt alleen de 11.38 Innovation Release en is opgelost in de [11.38.20 en 11.38.25 releases]", meldt Commvault. "Als het installeren van de update niet haalbaar is, moet de Command Center-installatie worden geïsoleerd van externe netwerktoegang." 

Verschillende security-experts wijzen op de ernst van de kwetsbaarheid, onder meer doordat oplossingen als Commvault doorgaans in de kern van de infrastructuur van organisaties wordt uitgerold. De systemen staan vaak in verbinding met kritieke systemen, die gevoelige gegevens omvatten.

'Controleer of patch is geïnstalleerd'

De experts roepen gebruikers daarom op te controleren of versie 11.38.20 met succes is geïnstalleerd op hun Commvault Command Center-implementatie. Met CVE-2025-34028 "schuilt het gevaar in de mogelijkheid van pre-geauthentiseerde remote code-uitvoering op systemen die vaak cruciaal zijn voor het databeschermingskader van een organisatie", zegt Eric Schwake, directeur cybersecuritystrategie bij Salt Security, in een verklaring tegen Dark Reading. "Een inbreuk hier kan leiden tot uitgebreide datalekken, losgeldvreugingen voor versleutelde back-ups of totale controle over herstelprocessen."

"Alle organisaties moeten dit behandelen als een noodgeval voor wijzigingen en prioriteit geven aan het oplossen van het probleem", zegt Heath Renfrow, chief information security officer (CISO) en mede-oprichter van Fenix24, tegen Dark Reading.