Commvault Cloud: Ressourcenerschöpfung durch Dekomprimierung im Nachrichtenlayer
Zusammenfassung
Ein Fehler im Netzwerk-Nachrichtenlayer von Commvault Cloud erlaubt es, stark komprimierte Daten zu verwenden, um Ressourcen zu erschöpfen und die Verfügbarkeit zu beeinträchtigen. Gemäss Vektor ist ein netzwerkbasierter Angriff ohne Berechtigungen und ohne Benutzerinteraktion möglich, die Auswirkung beschränkt sich auf Denial of Service. Ein erfolgreicher Angriff kann Backups und Restores auf den betroffenen Commvault-Komponenten blockieren.
Betroffen
- Commvault Cloud 11.46.0 bis 11.46.29
- Commvault Cloud 11.44.0 bis 11.44.24
- Commvault Cloud 11.40.0 bis 11.40.77
- Commvault Cloud 11.36.0 bis 11.36.126
- Zweige 11.42 und älter sind in der Fix-Tabelle nicht aufgeführt; ihr Status ist unbekannt.
- Die Herstellerempfehlung muss für komponentenspezifische Details (CommServe, Web Server, Command Center, MediaAgents, Clients, HyperScale) noch verifiziert werden.
Behoben in
- 11.36.127
- 11.40.78
- 11.44.25
- 11.46.30
- Neueste Wartungsversion: 11.46.40 (in der Herstellerempfehlung prüfen).
Umgehung
Unbekannt.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Commvault-Versionen und Komponenten anhand der Herstellerempfehlung CV_2026_10_3 prüfen.
- Auf den korrigierten Build des eigenen Zweigs patchen, vorzugsweise auf 11.46.40 oder die aktuelle LTS-Linie 11.44.
- Upgrades von 11.42 oder älter auf eine unterstützte Version wie 11.44 planen.
- Zugriff auf CommServe, MediaAgents und die Webkonsole auf vertrauenswürdige Netze beschränken; nicht aus dem Internet erreichbar machen.
- Commvault-Server bis zum Patch auf ungewöhnliche Ressourcennutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Commvault Security Advisory CV_2026_10_3 documentation.commvault.com
- VulDB entry 417734 vuldb.com
- Vulners CVE-2026-97334 vulners.com
- Commvault release types and release tracks documentation.commvault.com
- Commvault 11.46.30 update notes documentation.commvault.com
- Strix CVE-2026-97334 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.