Commvault Command Center のパストラバーサルの脆弱性（CVE-2025-34028）

何が起きた

バックアップ製品 Commvault の管理画面 Command Center で、ログインしていない攻撃者が、インストール用のパッケージに見せかけた ZIP ファイルを送り込めてしまう弱点が見つかりました。サーバーがこのファイルを展開するときに、決められた場所の外へファイルを置けてしまう（パストラバーサル）ため、悪意のある JSP ファイルを使ってプログラムを動かされるおそれがあります。実際に悪用されたことが確認されており、CISA の KEV に掲載されています。攻撃者はネットワーク経由で、ログインなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

影響を受けるのは Command Center の Innovation Release（11.38）だけで、ほかのバージョンは影響を受けません。Commvault の公式の案内では 11.38.0 から 11.38.19 までが対象とされていますが、NVD の説明では 11.38.0 から 11.38.20 までと書かれています。Commvault SaaS の利用者は、Commvault が自動で修正を入れているため対応は不要とされています。

何をすればいい

11.38.20 に SP38-CU20-433 と SP38-CU20-436 を入れるか、11.38.25 に SP38-CU25-434 と SP38-CU25-438 を入れてください。入ったかどうかは、Command Center のサーバー一覧で各インストールを選び、追加の更新の欄で確かめられます。更新をすぐに入れられない場合は、Command Center を外部のネットワークから切り離してください。あわせて Commvault の公式の案内を確認してください。

やることチェックリスト

• 11.38.20 または 11.38.25 の追加の更新を入れる
• サーバー一覧で追加の更新が入ったか確かめる
• 更新できなければ外部のネットワークから切り離す

用語メモ

パストラバーサル

ファイルの置き場所の指定を細工して、本来は入れないはずの場所のファイルを読み書きする攻撃です。

JSP

Java で作られた Web サーバーの上で動く、Web ページを作るためのプログラムのファイルです。

ZIP ファイル

複数のファイルを1つにまとめて小さくした形式のファイルです。