CISA warnt vor aktiv ausgenutzten Schwachstellen bei Broadcom und Commvault
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat zwei neue Sicherheitslücken in ihren offiziellen Katalog für aktiv ausgenutzte Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Grund dafür sind entsprechende Hinweise für eine Ausnutzung.
Aktuell warnt die US-Cybersicherheitsbehörde CISA vor zwei kritischen Schwachstellen, die gezielt ausgenutzt werden – mit potenziell schwerwiegenden Folgen für Unternehmen. Betroffen sind weitverbreitete Lösungen von Broadcom und Commvault. Jetzt ist schnelles Handeln gefragt. Konkret geht es um:
- CVE-2025-1976 (CVSS 8.6): Eine Code-Injektionslücke im Broadcom Brocade Fabric OS, die es lokalen Nutzern mit Administratorrechten erlaubt, beliebigen Code mit Root-Rechten auszuführen.
- CVE-2025-3928 (CVSS 8.7): Eine bislang nicht näher beschriebene Schwachstelle im Commvault Web Server, die es einem authentifizierten Angreifer ermöglicht, Web-Shells zu installieren und auszuführen – also einen Fernzugriff auf das System zu erlangen.
Commvault erklärte in einer Sicherheitsmeldung vom Februar 2025, dass ein Angriff auf diese Schwachstelle nur dann möglich sei, wenn ein Angreifer bereits über gültige Zugangsdaten verfügt. Die Systeme müssten zudem entweder über das Internet erreichbar sein oder bereits über einen anderen Weg kompromittiert worden sein. Ein Zugriff ohne Anmeldung sei laut Hersteller nicht möglich.
Die betroffenen Versionen des Commvault Web Servers sind:
- 11.36.0 bis 11.36.45 (behoben in 11.36.46)
- 11.32.0 bis 11.32.88 (behoben in 11.32.89)
- 11.28.0 bis 11.28.140 (behoben in 11.28.141)
- 11.20.0 bis 11.20.216 (behoben in 11.20.217)
Die Broadcom-Schwachstelle betrifft Fabric OS-Versionen 9.1.0 bis 9.1.1d6 und wurde mit der Version 9.1.1d7 geschlossen. Laut Broadcom entsteht die Sicherheitslücke durch einen Fehler in der IP-Adressvalidierung. Nutzer mit Admin-Rechten könnten darüber jeden Befehl des Betriebssystems ausführen oder es sogar um eigene Funktionen erweitern.
Obwohl für beide Lücken ein gewisser Zugang bereits bestehen muss – sei es über Admin-Rechte bei Broadcom oder gültige Log-ins bei Commvault –, wurden beide Schwachstellen laut den Herstellern bereits in der Praxis aktiv ausgenutzt. Details zur Art der Angriffe oder zu den Angreifern liegen bislang nicht öffentlich vor.
Die US-Behörden empfehlen Organisationen der zivilen Bundesverwaltung, die notwendigen Sicherheitsupdates spätestens bis zum 17. Mai 2025 (Commvault) und bis zum 19. Mai 2025 (Broadcom) zu installieren, um Risiken durch weitere Angriffe zu minimieren.