【误差通告】NAKIVO Backup & Replication 恣意文件读取误差(CVE-2024-48248)

宣布时间 2025-02-27

一、误差概述


误差名称

NAKIVO Backup & Replication 未经身份验证的恣意文件读取误差

CVE   ID

CVE-2024-48248

误差类型

恣意文件读取

发明时间

2025-02-27

误差评分

7.5

误差品级

高危

攻击向量

网络

所需权限

无

使用难度

低

用户交互

无

PoC/EXP

已果真

在野使用

未发明


NAKIVO Backup & Replication是一款高效的数据� ；；；そ饩黾苹�，，，，，专为虚拟化、云和物理情形设计。。。它支持 VMware、Hyper-V、AWS、Azure等平台的备份、恢复、复制和归档功效。。。该软件提供快速、可靠的备份与恢复，，，，，支持增量备份和去重手艺，，，，，以节约存储空间并提高性能。。。NAKIVO Backup & Replication还支持灾难恢复、云备份和跨平台数据迁徙，，，，，确保企业要害数据的清静。。。其轻盈的界面和自动化流程资助用户提高治理效率，，，，，降低运维本钱。。。


2025年2月27日，，，，，c7c7娱乐平台集团VSRC监测到watchTowr Labs宣布了关于NAKIVO Backup & Replication产品的未经身份验证的恣意文件读取误差的清静剖析文章。。。文章展现，，，，，攻击者可通过该误差会见效劳器上的恣意文件，，，，，包括存储在数据库中的凭证和备份文件（如.raw名堂的备份文件和product01.h2.db数据库文件），，，，，进而提取未加密存储的敏感凭证信息。。。别的，，，，，攻击者还能通过调试Java历程，，，，，提取内存中存储的清晰文本凭证。。。这使得攻击者能够获取与其他系统集成所需的SSH密码、AWS密钥等敏感数据，，，，，从而进一步控制受影响的备份情形。。。该误差可能导致攻击者窃取系统中所有存储的凭证，，，，，造成严重的清静危害。。。


二、影响规模


NAKIVO Backup & Replication <= 10.11.3.86570


三、清静步伐


3.1 升级版本


连忙将NAKIVO Backup & Replication更新到v11.0.0.88174或更高版本，，，，，以修复该误差。。。� ？？？？⒄咭丫诟冒姹局幸肓宋募肪洞χ贸头５那寰菜⑿�，，，，，阻止了目录遍历攻击。。。


下载链接：https://www.nakivo.com/resources/download/trial-download/download/


3.2 暂时步伐


暂无。。。


3.3 通用建议


? 按期更新系统补丁，，，，，镌汰系统误差，，，，，提升效劳器的清静性。。。
? 增强系统和网络的会见控制，，，，，修改防火墙战略，，，，，关闭非须要的应用端口或效劳，，，，，镌汰将危险效劳（如SSH、RDP等）袒露到公网，，，，，镌汰攻击面。。。
? 使用企业级清静产品，，，，，提升企业的网络清静性能。。。
? 增强系统用户和权限治理，，，，，启用多因素认证机制和最小权限原则，，，，，用户和软件权限应坚持在最低限度。。。
? 启用强密码战略并设置为按期修改。。。


3.4 参考链接


https://labs.watchtowr.com/the-best-security-is-when-we-all-agree-to-keep-everything-secret-except-the-secrets-nakivo-backup-replication-cve-2024-48248/