Commvault – CVE-2025-34028 : cette faille critique est activement exploitée !
Une faille de sécurité critique, déjà exploitée dans des attaques, affecte la plateforme Commvault Command Center. L'agence américaine CISA a émis une alerte au sujet de cette vulnérabilité. Faisons le point.
CVE-2025-34028 : une faille dans Commvault Command Center
Associée à la référence CVE-2025-34028, cette vulnérabilité est critique et cela se traduit par un score CVSS maximal de 10 sur 10. "Commvault Command Center contient une vulnérabilité path traversal qui permet à un attaquant distant non authentifié d'exécuter du code arbitraire.", explique la CISA.
Ce qui signifie qu'un attaquant distant, non authentifié à la plateforme, peut exécuter du code malveillant sur un serveur vulnérable en exploitant cette vulnérabilité liée à la gestion des chemins d’accès dans le système.
Les chercheurs de chez watchTowr Labs, qui ont fait la découverte de cette vulnérabilité, ont mis en ligne un rapport complet qui contient de nombreux détails techniques. Il permet de comprendre que l'exploitation repose sur le dépôt d'une archive ZIP spécialement conçue et et contenant un fichier .JSP malveillant. Le problème de sécurité se situe au niveau de l'URL /commandcenter/deployWebpackage.do.
"Cette vulnérabilité pourrait conduire à une compromission complète de l'environnement du Command Center. Heureusement, les autres installations du même système ne sont pas affectées par cette vulnérabilité.", peut-on lire dans le bulletin de sécurité de Commvault.
Comment se protéger ?
Cette vulnérabilité serait exploitée par les cybercriminels dans le cadre d'attaques. Commvault évoque un faible ensemble de clients, mais les attaques sont bien réelles. De son côté, la CISA a ajouté cette faille à son catalogue des vulnérabilités connues et exploitées, ce qui signifie qu'elle doit être traitée en priorité. En effet, les agences fédérales américaines doivent appliquer le correctif d’ici le 23 mai 2025.
Présente dans les versions 11.38.0 à 11.38.19 du logiciel Commvault Command Center, cette faille de sécurité a été corrigée dans les versions 11.38.20 et 11.38.25. Ces versions sont disponibles depuis le 10 avril 2025. "S'il n'est pas possible d'installer la mise à jour, isolez l'installation du Command Center de tout accès au réseau externe.", précise l'éditeur.
