Commvault Web Server unspecified vulnerability

O Commvault Web Server permite que um atacante remoto já autenticado, mesmo com privilégios baixos, crie e execute webshells no servidor, obtendo execução de código. O fornecedor confirma exploração como zero-day em incidente real que afetou seu próprio ambiente Azure, e a CISA incluiu a falha no catálogo KEV por exploração ativa confirmada. O CVSS 8.7 é alto, mas a exigência de credenciais válidas (PR:L) reduz o universo de exploração a ambientes onde o atacante já tem uma conta ou obteve credenciais por outro meio.

O advisory da Commvault (CV_2025_03_1) descreve a falha apenas como permitindo que 'bad actors' criem e executem webshells no webserver — não há detalhe público sobre o mecanismo exato (upload de arquivo malicioso, path traversal, deserialização, ou endpoint administrativo mal validado). Nem o fornecedor nem a NVD publicaram um CWE ou trecho de código associado até o momento da apuração. O vetor CVSS 4.0 (AV:N/AC:L/AT:N/PR:L/UI:N) indica ataque de rede, sem interação do usuário, sem condições de ataque adicionais, mas exigindo privilégio baixo (PR:L) — ou seja, uma conta autenticada no ambiente Commvault, não necessariamente de administrador.

O impacto declarado no vetor (VC:H/VI:H/VA:H) é total sobre confidencialidade, integridade e disponibilidade do componente afetado, consistente com execução de código via webshell plantado no servidor web. A vulnerabilidade afeta os componentes CommServe, Web Servers e Command Center, mas o fornecedor afirma explicitamente que computadores clientes (agentes de backup) não são impactados.

O fornecedor é claro sobre a pré-condição central: 'Unauthenticated access is not exploitable.' Para que o cenário de exploração se materialize contra um cliente da Commvault, o ambiente precisa estar (i) acessível pela internet, (ii) comprometido por algum vetor não relacionado que dê ao atacante credenciais, e (iii) essas credenciais usadas para acessar o webserver. Isso não é uma falha de acesso direto sem autenticação — é uma escalada pós-comprometimento ou abuso de credenciais legítimas roubadas.

O vetor real de exploração confirmado pela Commvault foi o ataque à sua própria infraestrutura Azure: um grupo classificado como nation-state (não nomeado publicamente pela empresa) obteve acesso e, segundo a Commvault, explorou CVE-2025-3928 como zero-day para plantar webshells no Commvault Web Server. A empresa afirma que não houve acesso não autorizado a dados de backup de clientes nem impacto material nas operações, mas recomenda a clientes aplicar Conditional Access em app registrations do Microsoft 365/Dynamics 365/Azure AD, monitorar logins de IPs fora de faixas permitidas e rotacionar client secrets a cada 90 dias — indicando que o vetor de entrada inicial nesse incidente específico passou por identidades e segredos de aplicação Azure, não apenas pelo webserver isoladamente.

A CISA classifica a falha como 'Unspecified Vulnerability' e confirma exploração no mundo real ao incluí-la no KEV em 28/04/2025, com prazo de correção para agências federais até 19/05/2025 sob a BOD 22-01. O campo 'Known To Be Used in Ransomware Campaigns' está marcado como 'Unknown' — não há confirmação de uso em ransomware até a apuração.

Na prática, para qualquer organização que não seja a própria Commvault, o risco depende de já ter credenciais de usuário comprometidas circulando (phishing, reuso de senha, outra brecha) e de o Web Server estar exposto à internet. Não há evidência pública de exploração massiva e não direcionada contra clientes finais — o caso documentado é o comprometimento direto da infraestrutura do próprio fornecedor.

A correção definitiva é atualizar para as versões corrigidas: 11.36.46 (branch 11.36), 11.32.89 (branch 11.32 — atenção: a versão 11.32.88 teve regressão de bugs em relatórios, corrigida na 11.32.89), 11.28.141 (branch 11.28) e 11.20.217 (branch 11.20), para Windows e Linux, aplicadas no CommServe, Web Servers e Command Center. Clientes Commvault SaaS não precisam agir — o fornecedor aplica os patches automaticamente.

Como controle compensatório até a atualização, restringir a exposição do Web Server à internet reduz drasticamente a superfície de ataque, já que a exploração exige acesso de rede ao componente. Reforçar a higiene de credenciais (MFA, rotação, detecção de login anômalo) mitiga o pré-requisito real de exploração, que é a posse de uma conta autenticada válida — isso não corrige a vulnerabilidade em si, mas fecha o caminho mais provável até ela nos ambientes que não são o próprio fornecedor.

Não existe mitigação via WAF documentada pelo fornecedor, porque o mecanismo exato da falha não foi divulgado publicamente — qualquer regra de bloqueio seria especulativa. Também não assuma que a falha é inofensiva por exigir autenticação: o próprio caso de uso relatado mostra que credenciais comprometidas por vetores completamente alheios ao Commvault (nesse caso, identidades Azure) bastam para viabilizar o ataque.

Não há indicador técnico público (assinatura, hash, path de webshell) divulgado pela Commvault ou pela CISA associado especificamente a esta CVE — o advisory trata o mecanismo como 'unspecified'. O sinal mais concreto disponível vem do incidente da própria Commvault: monitorar autenticações no Web Server originadas de IPs fora de faixas esperadas, atividade anômala de login e criação inesperada de arquivos executáveis/scripts no diretório do webserver (indicativo de webshell) são os únicos indícios genéricos sugeridos indiretamente pela orientação da empresa sobre monitoramento de sign-in e rotação de segredos — mas isso descreve o vetor de acesso via Azure AD do incidente relatado, não uma assinatura de exploração da CVE-2025-3928 em si.