CVE-2017-8895
KrytyczneStreszczenie
W Veritas Backup Exec 2014 przed wersją 14.1.1187.1126, 15 przed wersją 14.2.1180.3160 oraz 16 przed FP1 występuje podatność typu use-after-free w wielu agentach, która może prowadzić do odmowy usługi lub zdalnego wykonania kodu.
Ocena ryzyka
Nieautoryzowany atakujący może wykorzystać tę podatność do awarii agenta lub potencjalnego przejęcia kontroli nad procesem agenta, a tym samym nad systemem, na którym działa.
Rekomendacja
Zaleca się aktualizację Veritas Backup Exec do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemów pod kątem nieautoryzowanych działań.
Inne podatności w Veritas Backup Exec
Zobacz wszystkie- CVE-2021-27878WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i wykonać dowolne polecenia z uprawnieniami systemowymi.
- CVE-2021-27877WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA, który nie został wyłączony. Atakujący może zdalnie wykorzystać ten schemat do uzyskania nieautoryzowanego dostępu do agenta i wykonania uprzywilejowanych poleceń.
- CVE-2021-27876WysokieAktywnie exploitowane
W Veritas Backup Exec przed wersją 21.2 występuje podatność w schemacie uwierzytelniania SHA. Atakujący może uzyskać nieautoryzowany dostęp i za pomocą spreparowanych parametrów wejściowych uzyskać dostęp do dowolnego pliku w systemie z uprawnieniami System.
- CVE-2002-1117Średnie
Veritas Backup Exec 8.5 i wcześniejsze wymaga, aby klucz rejestru "RestrictAnonymous" dla Microsoft Exchange 2000 był ustawiony na 0. Powoduje to możliwość anonimowego wyliczania zawartości bazy SAM oraz udziałów sieciowych.
Oryginalny opis (angielski, źródło NVD)
In Veritas Backup Exec 2014 before build 14.1.1187.1126, 15 before build 14.2.1180.3160, and 16 before FP1, there is a use-after-free vulnerability in multiple agents that can lead to a denial of service or remote code execution. An unauthenticated attacker can use this vulnerability to crash the agent or potentially take control of the agent process and then the system it is running on.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS