强烈建议使用Commvault创新版的企业立即修复CVE-2025-34028漏洞。该漏洞允许攻击者远程运行代码并获得完全控制权。

Commvault命令中心(Commvault Command Center)是一个广泛采用的企业备份和数据管理解决方案，近日发现一个严重的安全漏洞。该漏洞编号为CVE-2025-34028，严重程度评分为9.0（满分10分）。远程攻击者可利用该漏洞在存在漏洞的Commvault安装上执行任意代码，而无需登录。

这一危险漏洞由watchTowr实验室的研究员Sonny Macdonald于2025年4月7日发现并负责任地报告。他们的分析表明，该漏洞位于一个名为“deployWebpackage.do”的特定Web界面组件中。

由于Commvault系统被允许与之交互的外部服务器缺乏适当的验证，因此此端点容易受到预先认证的服务器端请求伪造 (SSRF) 攻击。

Commvault本身在2025年4月17日发布的安全公告中承认了这个问题，并指出这个漏洞“可能导致指挥中心环境完全受损”，可能会暴露敏感数据并扰乱关键操作。

然而，SSRF漏洞只是实现完整代码执行的起点。研究表明，攻击者可以进一步利用此漏洞，方法是发送一个包含恶意“ .JSP”文件的特制ZIP压缩包，诱骗Commvault服务器从攻击者控制的服务器获取该文件。然后，该ZIP压缩包的内容会被提取到一个临时目录中，而攻击者可以控制该目录。

通过巧妙地操纵后续请求中的“servicePack”参数，攻击者可以扫描系统目录，将恶意“.JSP"文件”移动到可公开访问的位置，例如“../../Reports/MetricsUpload/shell”。最后，通过再次触发SSRF漏洞，攻击者可以从这个可访问位置执行他们的“.JSP”文件，从而有效地在Commvault系统上运行任意代码。

然而，在本例中，ZIP文件并非以常规方式读取。相反，它是在软件易受攻击的部分处理之前，通过“多部分请求”读取的。这可能使黑客得以绕过可能阻止正常Web请求的安全措施。

WatchTowr Labs已将该安全问题报告给Commvault，后者迅速发布了补丁程序。该补丁程序于2025年4月10日发布，该问题随后于2025年4月17日被披露。

Commvault确认该问题仅影响Linux和Windows计算机的“创新版本”软件版本11.38.0至11.38.19，因此更新至版本11.38.20或11.38.25将解决该问题。watchTowr Labs还创建了一个“检测工件生成器”，以帮助管理员识别暴露于CVE-2025-34028的系统。

这项研究强调，备份系统正成为网络攻击的高价值目标。这些系统对于攻击后恢复正常运营至关重要，一旦被控制，将构成重大威胁，主要是因为这些系统通常包含公司计算机关键部件的秘密用户名和密码。该漏洞的严重性凸显了快速更新数据保护和备份基础设施安全更新的必要性，以确保能够有效抵御此类攻击。

ColorTokens首席信息安全官咨询副总裁Agnidipta Sarkar对最新进展发表评论称：“这个CVSS 10漏洞允许未经身份验证的远程代码执行，有可能完全攻陷Commvault的指挥中心。立即采取持续的缓解措施至关重要。如果无法完全关闭网络，Xshield Gatekeeper等工具可以快速隔离关键系统。如果不采取行动，勒索软件和数据丢失的威胁将十分严重。”