Commvault è una piattaforma di backup e protezione dei dati ampiamente adottata a livello enterprise, disponibile sia come soluzione SaaS che on‑premise. Grandi organizzazioni e fornitori di servizi gestiti implementano comunemente l’appliance Windows on‑premise (Innovation Release 11.38.x) in ambienti che richiedono elevati standard di sicurezza e controlli di tipo zero‑trust.

Riassunto tecnico

Un utente malintenzionato può sfruttare due endpoint non autenticati — deployWebpackage.do e deployServiceCommcell.do — per ottenere l’esecuzione di codice da remoto combinando:

1. Iniezione SSRF

   • Il parametro commcellName viene interpolato direttamente in una richiesta HTTPS GET (https://<commcellName>/commandcenter/webpackage.do) senza validazione dell’hostname.
   • Questo consente al server di recuperare contenuti controllati dall’attaccante da host arbitrari.

2. Scrittura arbitraria di file e traversata di directory

   • La risposta recuperata (solitamente un archivio ZIP) viene scritta su disco in un percorso derivato dal parametro servicePack.
   • Inserendo sequenze di traversata di percorso (es. ../../Reports/MetricsUpload/shell/), un attaccante può scrivere file in directory accessibili dal web come /Reports/MetricsUpload/….

3. Caricamento ed esecuzione di JSP

   • Un archivio ZIP malevolo contenente payload .jsp viene estratto nella directory di destinazione (es. …/shell/.tmp/dist-cc/dist-cc/).
   • L’attaccante invia quindi una richiesta HTTP GET al file JSP distribuito, ottenendo l’esecuzione arbitraria di codice sotto il processo Tomcat.

4. Caricamento alternativo via multipart

   • L’endpoint deployServiceCommcell.do accetta un caricamento file multipart, evitando completamente il recupero HTTP esterno e fornendo direttamente contenuto ZIP non affidabile alla stessa routine di distribuzione vulnerabile.

Raccomandazioni

• Patch immediata: Aggiornare tutte le appliance on‑premise a Innovation Release 11.38.20 o superiore, secondo il Security Advisory CV202504_1 di Commvault.

• Controlli di rete: Implementare filtri egress o liste bianche di host per prevenire attacchi SSRF — bloccare hostname/IP non affidabili che il server di backup può raggiungere.

• Validazione dell’input: Garantire la sanitizzazione lato server di tutti i parametri forniti dall’utente utilizzati in contesti di file system o richieste HTTP.

• Principio del privilegio minimo: Eseguire i servizi Commvault con un account dedicato con minimo accesso in scrittura — impedire scritture nella webroot e nelle directory di configurazione.

• Monitoraggio e rilevamento:

  • Controllare i log per chiamate inaspettate a deployWebpackage.do e deployServiceCommcell.do.
  • Eseguire scansioni per identificare la creazione di file ZIP sospetti o nuovi file JSP in percorsi accessibili dal web.