Commvault Cloud: Denial of Service in MediaAgent durch Heap-basierten Pufferüberlauf
Zusammenfassung
Ein Heap-basierter Pufferüberlauf im MediaAgent von Commvault Cloud kann über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausgelöst werden. Eine erfolgreiche Ausnutzung kann den Dienst zum Absturz bringen; betroffen ist nur die Verfügbarkeit, Daten werden weder offengelegt noch verändert. Backup- und Restore-Vorgänge können genau dann fehlschlagen, wenn sie benötigt werden, zum Beispiel nach einem Ransomware-Vorfall.
Betroffen
- Commvault Cloud 11.46.0 bis 11.46.29
- Commvault Cloud 11.44.0 bis 11.44.24
- Commvault Cloud 11.40.0 bis 11.40.77
- Commvault Cloud 11.36.0 bis 11.36.126
- Komponenten: MediaAgent und HyperScale (gemäss CNA-Eintrag)
- Standardkonfiguration: Unbekannt.
Behoben in
- Behoben in 11.46.30 (erste geänderte Version gemäss CNA-Daten; in der Herstellerempfehlung zu bestätigen)
- Für andere Zweige aufgeführte Wartungsversionen: 11.44.25, 11.40.78, 11.36.127 (6. Oktober 2026; nicht als Behebung dieser CVE bestätigt)
- Neueste aufgeführte 11.46-Version: 11.46.40 (15. Oktober 2026)
Umgehung
Unbekannt. Keine Workaround-Massnahme des Herstellers identifiziert; der Hersteller empfiehlt ein Update.
- Netzwerkzugriff auf MediaAgent und HyperScale auf das Backup-Netzwerk und Administratoren beschränken (eigene Empfehlung, nicht vom Hersteller).
Ausnutzung
- Nicht im Katalog CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Im Rahmen der Recherche wurden kein öffentlicher Proof of Concept und keine Meldung über Ausnutzung in freier Wildbahn gefunden.
- EPSS: 0.00316 (sehr niedrig).
Unsere Empfehlung
- Alle Commvault-Installationen und Versionen inventarisieren, einschliesslich MediaAgent und HyperScale.
- Versionen mit den betroffenen Bereichen vergleichen und die Herstellerempfehlung CV_2026_10_6 für die genauen Behebungsversionen prüfen.
- Auf die neueste Wartungsversion jedes Zweigs aktualisieren und alle Commvault-Installationen aktualisieren, nicht nur die betroffene Komponente.
- Sicherstellen, dass Backup-Komponenten nicht aus dem Internet erreichbar sind.
- Bis zur Behebung auf Dienstabstürze von MediaAgent überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Commvault Security Advisory CV_2026_10_6 documentation.commvault.com
- Commvault release types and release tracks documentation.commvault.com
- Commvault 11.40.78 release notes documentation.commvault.com
- Strix CVE-2026-77100 www.strix.ai
- Vulners CVE-2026-77100 vulners.com
- CyStack Commvault Cloud vulnerabilities cystack.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.