【缝隙公告】NAKIVO Backup & Replication 肆意文件读取缝隙(CVE-2024-48248)
颁布功夫 2025-02-27一、缝隙概述
缝霞称 | NAKIVO Backup & Replication 未经身份验证的肆意文件读取缝隙 | ||
CVE ID | CVE-2024-48248 | ||
缝隙类型 | 肆意文件读取 | 发现功夫 | 2025-02-27 |
缝隙评分 | 7.5 | 缝隙等级 | 高危 |
攻击向量 | 网络 | 所需权限 | 无 |
利用难度 | 低 | 用户交互 | 无 |
PoC/EXP | 已公开 | 在野利用 | 未发现 |
NAKIVO Backup & Replication是一款高效的数据�；そ饩龉婊�，专为虚构化、云和物理环境设计。它支持 VMware、Hyper-V、AWS、Azure等平台的备份、复原、复造和归档职能。该软件提供急剧、靠得住的备份与复原，支持增量备份和去沉技术，以节俭存储空间并提高机能。NAKIVO Backup & Replication还支持苦难复原、云备份和跨平台数据迁徙，确保企业关键数据的安全。其轻便的界面和自动化流程援手用户提高治理效能，降低运维成本。
2025年2月27日，宝运莱官方网站集团VSRC监测到watchTowr Labs颁布了关于NAKIVO Backup & Replication产品的未经身份验证的肆意文件读取缝隙的安全分析文章。文章揭示，攻击者可通过该缝隙接见服务器上的肆意文件，蕴含存储在数据库中的凭证和备份文件（如.raw体式的备份文件和product01.h2.db数据库文件），进而提取未加密存储的敏感凭证信息。此表，攻击者还能通过调试Java过程，提取内存中存储的清澈文本凭证。这使得攻击者可能获取与其他系统集成所需的SSH密码、AWS密钥等敏感数据，从而进一步节造受影响的备份环境。该缝隙可能导致攻击者窃取系统中所有存储的凭证，造成严沉的安全风险。
二、影响领域
NAKIVO Backup & Replication <= 10.11.3.86570
三、安全措施
3.1 升级版本
立即将NAKIVO Backup & Replication更新到v11.0.0.88174或更高版本，以建复该缝隙�？⒄咭丫诟冒姹局幸肓宋募杈洞χ玫陌踩慕�，预防了目录遍历攻击。
3.2 一时措施
暂无。
京公网安备11010802024551号