CVE-2024-22901
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W systemie Vinchin Backup & Recovery w wersji 7.2 wykryto użycie domyślnych poświadczeń do bazy danych MySQL. Oznacza to, że atakujący może uzyskać nieautoryzowany dostęp do bazy danych bez konieczności łamania haseł.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad bazą danych kopii zapasowych, co może prowadzić do wycieku poufnych danych, modyfikacji lub usunięcia kopii zapasowych, a w konsekwencji do przerwania ciągłości działania organizacji.
Rekomendacja
Należy natychmiast zmienić domyślne hasło do bazy danych MySQL na silne, unikalne hasło. Dodatkowo warto rozważyć ograniczenie dostępu do bazy danych tylko z zaufanych adresów IP oraz wdrożenie monitorowania logów pod kątem nieautoryzowanych prób logowania.
Inne podatności w Vinchin Backup & Recovery
Zobacz wszystkie- CVE-2024-22902Krytyczne
W systemie Vinchin Backup & Recovery w wersji 7.2 wykryto domyślne poświadczenia konta root. Oznacza to, że system jest fabrycznie skonfigurowany z łatwymi do odgadnięcia danymi logowania.
- CVE-2026-60095Średnie
Podatność przepełnienia bufora stosu w usłudze agentlink_server oprogramowania Vinchin Backup & Recovery do wersji 9.0.0.86562. Niezautoryzowany zdalny atakujący może nadpisać adres zwrotny, wysyłając spreparowane żądanie z nadmiernie długim polem _listen_uuid, które jest kopiowane bez kontroli granic do bufora o stałej długości za pomocą funkcji strcpy().
- CVE-2026-60094Średnie
Vinchin Backup & Recovery do wersji 9.0.0.86562 zawiera podatność przepełnienia bufora sterty, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu lub uszkodzenia pamięci poprzez wysłanie spreparowanego pakietu TCP z niesprawdzonym polem body_len do usługi agentlink_server. Atakujący może skonstruować złośliwy pakiet, który przekazuje kontrolowaną przez atakującego długość bezpośrednio do funkcji recv(), wywołując przepełnienie sterty o rozmiarze do około 4 GiB, co skutkuje awarią procesu lub potencjalnym uszkodzeniem pamięci.
- CVE-2024-22903Wysokie
W Vinchin Backup & Recovery w wersji 7.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez funkcję deleteUpdateAPK. Atakujący z ważnymi danymi logowania może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2024-22900Wysokie
W Vinchin Backup & Recovery w wersji 7.2 wykryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez funkcję setNetworkCardInfo. Atakujący z ważnym kontem może wysłać spreparowane żądanie do tej funkcji, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2024-22899Wysokie
W Vinchin Backup & Recovery w wersji 7.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w funkcji syncNtpTime. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Vinchin Backup & Recovery v7.2 was discovered to use default MYSQL credentials.