CVE-2002-1117
ŚredniePrawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 77 - wyżej niż 77% wszystkich znanych CVE
Streszczenie
Veritas Backup Exec 8.5 i wcześniejsze wymaga, aby klucz rejestru "RestrictAnonymous" dla Microsoft Exchange 2000 był ustawiony na 0. Powoduje to możliwość anonimowego wyliczania zawartości bazy SAM oraz udziałów sieciowych.
Ocena ryzyka
Anonimowy atakujący może uzyskać informacje o kontach użytkowników i udziałach sieciowych, co ułatwia dalsze ataki i rekonesans w środowisku.
Rekomendacja
Zaktualizuj Veritas Backup Exec do wersji nowszej niż 8.5 lub zmień konfigurację klucza RestrictAnonymous na wartość uniemożliwiającą anonimowe wyliczanie.
Inne podatności w Veritas Backup Exec
Zobacz wszystkie- CVE-2021-27878WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i wykonać dowolne polecenia z uprawnieniami systemowymi.
- CVE-2021-27877WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA, który nie został wyłączony. Atakujący może zdalnie wykorzystać ten schemat do uzyskania nieautoryzowanego dostępu do agenta i wykonania uprzywilejowanych poleceń.
- CVE-2021-27876WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i za pomocą spreparowanych parametrów wejściowych uzyskać dostęp do dowolnego pliku w systemie z uprawnieniami System.
- CVE-2017-8895Krytyczne
W Veritas Backup Exec 2014 przed wersją 14.1.1187.1126, 15 przed wersją 14.2.1180.3160 oraz 16 przed FP1 występuje podatność typu use-after-free w wielu agentach, która może prowadzić do odmowy usługi lub zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Veritas Backup Exec 8.5 and earlier requires that the "RestrictAnonymous" registry key for Microsoft Exchange 2000 must be set to 0, which enables anonymous listing of the SAM database and shares.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS