BDU:2025-02355

Опубликовано: 04 мар. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Критический

Описание

Уязвимость веб-интерфейса системы резервного копирования, репликации и восстановления виртуальных машин NAKIVO Backup and Replication связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию путем отправки специально сформированных HTTP-запросов

Вендор

NAKIVO Inc.

Наименование ПО

NAKIVO Backup & Replication

Версия ПО

до 11.0.0.88174 (NAKIVO Backup & Replication)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF);

- использование «белого» списка IP-адресов для ограничения доступа к веб-интерфейсу управления уязвимого программного обеспечения;

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для выявления и реагирования на попытки эксплуатации уязвимости;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

Обновление программного обеспечения до актуальной версии

https://www.nakivo.com/upgrade-to-new-version/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-48248
CVE

EPSS

Процентиль: 100%

0.93973

Критический

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2024-48248

CVSS3: 8.6

nvd

11 месяцев назад

NAKIVO Backup & Replication before 11.0.0.88174 allows absolute path traversal for reading files via getImageByPath to /c/router (this may lead to remote code execution across the enterprise because PhysicalDiscovery has cleartext credentials).

GHSA-8j8g-6gw9-rjrf