【误差通告】NAKIVO Backup & Replication 恣意文件读取误差(CVE-2024-48248)

宣布时间 2025-02-27

一、误差概述


误差名称

NAKIVO Backup & Replication 未经身份验证的恣意文件读取误差

CVE   ID

CVE-2024-48248

误差类型

恣意文件读取

发明时间

2025-02-27

误差评分

7.5

误差品级

高危

攻击向量

网络

所需权限

无

使用难度

低

用户交互

无

PoC/EXP

已果真

在野使用

未发明


NAKIVO Backup & Replication是一款高效的数据�；；；；；；；そ饩黾苹�，，，专为虚拟化、云和物理情形设计。。。。。。。它支持 VMware、Hyper-V、AWS、Azure等平台的备份、恢复、复制和归档功效。。。。。。。该软件提供快速、可靠的备份与恢复，，，，支持增量备份和去重手艺，，，，以节约存储空间并提高性能。。。。。。。NAKIVO Backup & Replication还支持灾难恢复、云备份和跨平台数据迁徙，，，，确保企业要害数据的清静。。。。。。。其轻盈的界面和自动化流程资助用户提高治理效率，，，，降低运维本钱。。。。。。。


2025年2月27日，，，，凯时K66集团VSRC监测到watchTowr Labs宣布了关于NAKIVO Backup & Replication产品的未经身份验证的恣意文件读取误差的清静剖析文章。。。。。。。文章展现，，，，攻击者可通过该误差会见效劳器上的恣意文件，，，，包括存储在数据库中的凭证和备份文件（如.raw名堂的备份文件和product01.h2.db数据库文件），，，，进而提取未加密存储的敏感凭证信息。。。。。。。别的，，，，攻击者还能通过调试Java历程，，，，提取内存中存储的清晰文本凭证。。。。。。。这使得攻击者能够获取与其他系统集成所需的SSH密码、AWS密钥等敏感数据，，，，从而进一步控制受影响的备份情形。。。。。。。该误差可能导致攻击者窃取系统中所有存储的凭证，，，，造成严重的清静危害。。。。。。。


二、影响规模


NAKIVO Backup & Replication <= 10.11.3.86570


三、清静步伐


3.1 升级版本


连忙将NAKIVO Backup & Replication更新到v11.0.0.88174或更高版本，，，，以修复该误差。。。。。。�？ ？？⒄咭丫诟冒姹局幸肓宋募肪洞χ贸头５那寰菜⑿拢�，，，阻止了目录遍历攻击。。。。。。。


下载链接：https://www.nakivo.com/resources/download/trial-download/download/


3.2 暂时步伐


暂无。。。。。。。


3.3 通用建议


? 按期更新系统补�。。。。。。。�，，，镌汰系统误差，，，，提升效劳器的清静性。。。。。。。
? 增强系统和网络的会见控制，，，，修改防火墙战略，，，，关闭非须要的应用端口或效劳，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，镌汰攻击面。。。。。。。
? 使用企业级清静产品，，，，提升企业的网络清静性能。。。。。。。
? 增强系统用户和权限治理，，，，启用多因素认证机制和最小权限原则，，，，用户和软件权限应坚持在最低限度。。。。。。。
? 启用强密码战略并设置为按期修改。。。。。。。


3.4 参考链接


https://labs.watchtowr.com/the-best-security-is-when-we-all-agree-to-keep-everything-secret-except-the-secrets-nakivo-backup-replication-cve-2024-48248/