核心事件概述

2025 年 8 月 21 日消息，数据管理软件提供商 Commvault 已发布更新，修复其产品中存在的 4 个安全漏洞。这些漏洞若被利用，可能使攻击者在易受攻击的实例上实现远程代码执行（Remote Code Execution, RCE） 。漏洞仅影响 Commvault 11.36.60 版本之前的产品，其 SaaS 解决方案未受影响。

漏洞详情

4 个漏洞均由 watchTowr Labs 的研究员 Sonny Macdonald 与 Piotr Bazydlo 于 2025 年 4 月发现并上报，具体信息如下：

 

CVE 编号	CVSS 评分	漏洞描述
CVE-2025-57788	6.9	已知登录机制存在缺陷，未授权攻击者无需用户凭据即可执行 API 调用
CVE-2025-57789	5.3	安装后至首次管理员登录的 “设置阶段” 存在漏洞，远程攻击者可利用默认凭据获取管理员权限
CVE-2025-57790	8.7	路径遍历漏洞，远程攻击者可通过路径遍历实现未授权文件系统访问，最终导致远程代码执行
CVE-2025-57791	6.9	输入验证不足，远程攻击者可注入或操纵传递给内部组件的命令行参数，获取低权限角色的有效用户会话

漏洞利用链

网络安全公司分析指出，攻击者可将上述漏洞组合成两条预认证漏洞链，以实现对易受攻击实例的代码执行：

1. 第一条链：结合CVE-2025-57791（获取低权限会话）与CVE-2025-57790（路径遍历致 RCE）；
2. 第二条链：串联CVE-2025-57788（无凭据执行 API）、CVE-2025-57789（默认凭据获管理员权限）与CVE-2025-57790（路径遍历致 RCE）。

需特别注意：第二条预认证远程代码执行链仅在 “安装后未修改内置管理员密码” 的情况下才能成功利用。

修复与影响范围

• 修复版本：Commvault 已在11.32.102和11.36.60版本中修复了所有上述漏洞；
• 未受影响产品：Commvault SaaS 解决方案未受这些漏洞影响。

相关背景

此次漏洞披露距 watchTowr Labs 上报另一个 Commvault 严重漏洞仅约 4 个月：

• 此前发现的漏洞为 Commvault Command Center 缺陷（CVE-2025-34028），CVSS 评分为最高级 10.0，可允许攻击者在受影响的安装实例上执行任意代码；
• 一个月后（即 2025 年 5 月左右），美国网络安全与基础设施安全局（CISA）因该漏洞存在 “在野活跃利用证据”，将其纳入 “已知被利用漏洞（KEV）目录”。