CVE-2025-34520
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W Arcserve Unified Data Protection (UDP) występuje obejście uwierzytelniania, które pozwala nieuwierzytelnionym atakującym uzyskać dostęp do chronionych funkcji lub kont użytkowników. Poprzez manipulację parametrami żądania lub wykorzystanie błędu logicznego można ominąć mechanizm logowania i uzyskać uprawnienia administratora. Podatność dotyczy wszystkich wersji UDP przed 10.2.
Ocena ryzyka
Nieautoryzowany dostęp do funkcji administracyjnych może prowadzić do pełnej kompromitacji systemu backupu i naruszenia chronionych danych.
Rekomendacja
Zastosuj poprawki dla wersji 8.0–10.1 lub zaktualizuj do wersji 10.2; wersje 7.x i starsze są niewspierane i wymagają aktualizacji do 10.2.
Inne podatności w Arcserve Unified Data Protection
Zobacz wszystkie- CVE-2025-34523Krytyczne
W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w procedurach obsługi danych wejściowych związanych z siecią. Podatność jest osiągalna bez uwierzytelnienia i wynika z nieprawidłowego sprawdzania granic przy przetwarzaniu danych kontrolowanych przez atakującego.
- CVE-2025-34522Krytyczne
W Arcserve Unified Data Protection (UDP) występuje przepełnienie bufora na stercie w logice parsowania danych wejściowych. Podatność można wywołać bez uwierzytelnienia, wysyłając specjalnie spreparowane dane, co może prowadzić do awarii aplikacji lub zdalnego wykonania kodu.
- CVE-2025-34521Średnie
Podatność na odbity cross-site scripting (XSS) w interfejsie webowym Arcserve Unified Data Protection (UDP). Niesanityzowane dane wejściowe są odbijane w odpowiedziach HTTP. Zdalni atakujący z niskimi uprawnieniami mogą tworzyć złośliwe linki, które po odwiedzeniu przez innego użytkownika wykonują dowolny JavaScript w przeglądarce ofiary. Udane wykorzystanie może prowadzić do przejęcia sesji, kradzieży poświadczeń lub innych skutków po stronie klienta. Podatność dotyczy wszystkich wersji UDP przed 10.2; wersje 8.0 do 10.1 wymagają poprawki lub aktualizacji do 10.2; wersje 7.x i starsze muszą zostać zaktualizowane do 10.2.
Oryginalny opis (angielski, źródło NVD)
An authentication bypass vulnerability in Arcserve Unified Data Protection (UDP) allows unauthenticated attackers to gain unauthorized access to protected functionality or user accounts. By manipulating specific request parameters or exploiting a logic flaw, an attacker can bypass login mechanisms without valid credentials and access administrator-level features. This vulnerability affects all UDP versions prior to 10.2. UDP 10.2 includes the necessary patches and requires no action. Versions 8.0 through 10.1 are supported and require either patch application or upgrade to 10.2. Versions 7.x and earlier are unsupported or out of maintenance and must be upgraded to 10.2 to remediate the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS