Commvault Backup Suite の複数の脆弱性：オンプレミス・インフラ侵害に No Patch／Yes PoC

Commvault Backup Suite Flaws Allow Attackers to Breach On-Premises Systems

2025/08/21 gbhackers — Commvault バックアップ／データ管理ソフトウェアに存在する深刻な脆弱性群を、WatchTowr Labs のセキュリティ研究者たちが発見した。それらの脆弱性は、攻撃者によるリモート・コード実行 (RCE) やオンプレミス・インフラ侵害を可能にするものであるという。バックアップ・ソリューションを Commvault に依存する組織にとって、これらの欠陥は重大な脅威となる。

発見された攻撃チェーンは、４つの脆弱性により構成され、それらが連鎖的に悪用されることで Commvault システムへの不正アクセスが可能となる。これらの認証前 RCE 脆弱性を悪用する攻撃者は、セキュリティ制御を回避しながら、悪意のコード実行を可能にする。

この “Stupid Enough to Rob The Same Vault Twice” という題が付けられた調査が浮き彫りにするのは、複数の脆弱性を連鎖させた場合の深刻さである。

脆弱性の詳細

発見された脆弱性は、複数の攻撃ベクターに影響を及ぼすものであり、公式の CVE 識別子が割り当てられている。また、これらの脆弱性を連鎖的に悪用する攻撃者は、イニシャル・アクセスからシステム全体の侵害にいたるまでの、完全な攻撃経路を手にするという、きわめて危険なシナリオが生じる。

CVEVendor Synopsis
CVE-2025-57788Unauthorized API Access Risk
CVE-2025-57789Vulnerability in Initial Administrator Login Process
CVE-2025-57790Path Traversal Vulnerability
CVE-2025-57791Argument Injection Vulnerability in CommServe

CVE-2025-57788 により攻撃者は、正規の認証を必要とすることなく、Commvault 管理インターフェースへのアクセスを可能にする。

authentication error
authentication error

また、管理者ログイン処理の脆弱性 CVE-2025-57789 には、初期セットアップ時にアカウント乗っ取りや権限昇格を許す可能性がある。

それに加えて、パス・トラバーサル脆弱性 CVE-2025-57790 は、不正なファイル・アクセスやデータ窃取を引き起こし、引数インジェクションの脆弱性 CVE-2025-57791 は、基盤システム上でのコマンド実行を可能にする。

no Detection Artifact Generator will be released
no Detection Artifact Generator will be released

推奨される対応策

Commvault バックアップ・ソリューションを利用する組織にとって必要なことは、直ちにベンダーのセキュリティ・アドバイザリを確認し、提供されているパッチを適用することだ。

これらの脆弱性は、認証を必要としない悪用が可能であるため、内部の脅威アクターだけではなく、外部の攻撃者にもダイレクトに悪用される恐れがある。

バックアップ・システムは、事業継続や災害復旧に不可欠であり、それらが侵害されると、ユーザー組織の運用およびデータ・セキュリティに、深刻な問題が発生する可能性がある。

Commvault バックアップ環境に、複数の脆弱性が発見されたとのことです。それぞれの欠陥自体も危険ですが、連鎖的に悪用されることで、システム全体を乗っ取れるほど深刻になる点が懸念されます。この記事のオリジナル・ソースである、WatchTowr Labs のレポートには、PoC に関する記載がありますが、その他のサイトを確認してみても、アップデートに関する情報は見つからないという状況です。ご利用のチームは、ご注意ください。よろしければ、Commvault で検索も、ご参照ください。