CVE-2026-60094
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Vinchin Backup & Recovery do wersji 9.0.0.86562 zawiera podatność przepełnienia bufora sterty, która pozwala nieuwierzytelnionym zdalnym atakującym na spowodowanie awarii procesu lub uszkodzenia pamięci poprzez wysłanie spreparowanego pakietu TCP z niesprawdzonym polem body_len do usługi agentlink_server. Atakujący może skonstruować złośliwy pakiet, który przekazuje kontrolowaną przez atakującego długość bezpośrednio do funkcji recv(), wywołując przepełnienie sterty o rozmiarze do około 4 GiB, co skutkuje awarią procesu lub potencjalnym uszkodzeniem pamięci.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu lub całkowitego zatrzymania usługi backupu, co może prowadzić do utraty danych i przerwania ciągłości działania.
Rekomendacja
Zaleca się natychmiastową aktualizację Vinchin Backup & Recovery do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczenie dostępu do usługi agentlink_server tylko do zaufanych sieci.
Inne podatności w Vinchin Backup & Recovery
Zobacz wszystkie- CVE-2024-22902Krytyczne
W systemie Vinchin Backup & Recovery w wersji 7.2 wykryto domyślne poświadczenia konta root. Oznacza to, że system jest fabrycznie skonfigurowany z łatwymi do odgadnięcia danymi logowania.
- CVE-2024-22901Krytyczne
W systemie Vinchin Backup & Recovery w wersji 7.2 wykryto użycie domyślnych poświadczeń do bazy danych MySQL. Oznacza to, że atakujący może uzyskać nieautoryzowany dostęp do bazy danych bez konieczności łamania haseł.
- CVE-2026-60095Średnie
Podatność przepełnienia bufora stosu w usłudze agentlink_server oprogramowania Vinchin Backup & Recovery do wersji 9.0.0.86562. Niezautoryzowany zdalny atakujący może nadpisać adres zwrotny, wysyłając spreparowane żądanie z nadmiernie długim polem _listen_uuid, które jest kopiowane bez kontroli granic do bufora o stałej długości za pomocą funkcji strcpy().
- CVE-2024-22903Wysokie
W Vinchin Backup & Recovery w wersji 7.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez funkcję deleteUpdateAPK. Atakujący z ważnymi danymi logowania może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2024-22900Wysokie
W Vinchin Backup & Recovery w wersji 7.2 wykryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez funkcję setNetworkCardInfo. Atakujący z ważnym kontem może wysłać spreparowane żądanie do tej funkcji, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2024-22899Wysokie
W Vinchin Backup & Recovery w wersji 7.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w funkcji syncNtpTime. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Vinchin Backup & Recovery through 9.0.0.86562 contains a heap buffer overflow vulnerability that allows unauthenticated remote attackers to cause process crash or memory corruption by sending a malformed TCP packet with an unchecked body_len field to the agentlink_server service. Attackers can craft a malicious packet that passes an attacker-controlled length directly to recv(), triggering a heap overflow of up to approximately 4 GiB and resulting in process crash or potential memory corruption.