Kwetsbaarheid XML parser in Commvault CVWebService Web Server endpoint

Berry RijnbeekSecurity updates

Kwetsbaarheid XML parser in Commvault CVWebService Web Server endpoint

Commvault heeft een XML parser kwetsbaarheid ontdekt in de Commvault CVWebService Web Server endpoint. Deze kwetsbaarheid doet zich voor in Feature Release 11.20 Maintenance Release 27 en lagere versies.  

Door deze kwetsbaarheid is het mogelijk dat er data wordt verstuurd als authenticatie token, om vervolgens een Denial of Service (DoS) aanval uitvoeren door gebruik te maken van een XML External Entity attack. Bij een DoS-aanval wordt het apparaat overspoeld met data, waardoor deze op dat moment niet meer beschikbaar is. Lees op de portal van Commvault meer informatie over deze kwetsbaarheid.

De volgende Commvault systemen zijn kwetsbaar:
Commvault Feature Release
  • 11.20
  • SP19
  • SP18
  • SP16

Advies

PQR adviseert om zo snel mogelijk de juiste maintenance release te installeren op de CommServ en WebServer. In de tabel ziet u vanaf welke maintenance releases deze kwetsbaarheden zijn opgelost. Download deze, of een meer recente release voor het service pack level op de CommServe en WebServer:

Feature Release Maintenance Release
SP16 80
SP18 52
SP19 38
11.20 27

PQR klanten met een managed services contract zijn volledig up to date met de recentste maintenance releases.

Vragen of hulp nodig?

Heeft u vragen over deze kwetsbaarheid of loopt u tegen problemen aan bij het updaten naar de juiste maintenance release? Neem contact op met PQR.

Bronnen

https://documentation.commvault.com/commvault/v11/article?p=1479.htm

 

Geplaatst door

Berry Rijnbeek

Lead consultant security competence team, Security Officer