CVE-2026-61625

ŚrednieCVSS 6.8

Opublikowano: 20/08/2026(UTC)Zaktualizowano: 20/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

VictoriaMetrics to skalowalne rozwiązanie do monitorowania i zarządzania danymi szeregów czasowych. Przed wersjami 1.122.25, 1.136.12 i 1.146.0 narzędzie vmrestore nie waliduje składników ścieżek części kopii zapasowej przed użyciem lib/backup/actions/restore.go i lib/backup/fslocal/fslocal.go do zapisu przywróconych danych poniżej storageDataPath. Atakujący, który może dostarczyć lub zmodyfikować źródło kopii zapasowej S3, GCS, Azure Blob Storage lub inne, może umieścić składniki .. w nazwach obiektów. Gdy operator przywraca to źródło, spreparowane nazwy mogą tworzyć lub nadpisywać pliki poza zamierzonym katalogiem głównym przywracania w ramach uprawnień systemu plików procesu vmrestore. Problem został naprawiony w wersjach 1.122.25, 1.136.12 i 1.146.0.

Ocena ryzyka

Ryzyko obejmuje nadpisanie lub utworzenie plików poza zamierzonym katalogiem, co może prowadzić do uszkodzenia systemu, eskalacji uprawnień lub uruchomienia złośliwego kodu. Atak wymaga możliwości modyfikacji źródła kopii zapasowej, co może być możliwe zdalnie.

Rekomendacja

Zaleca się natychmiastową aktualizację do jednej z naprawionych wersji (1.122.25, 1.136.12 lub 1.146.0). Należy również zweryfikować integralność źródeł kopii zapasowych i ograniczyć dostęp do nich.

Inne podatności w VictoriaMetrics

CVE-2026-19898Niskie
W VictoriaMetrics do wersji 1.146.0 wykryto podatność w komponencie VMAuth Authentication Endpoint, w funkcji requestHandler pliku app/vmauth/main.go. Problem polega na nieprawidłowym ograniczeniu nadmiernych prób uwierzytelnienia, co umożliwia ataki brute-force. Atak jest zdalny, ale wymaga wysokiej złożoności. Zalecana jest aktualizacja do wersji 1.147.0.

Oryginalny opis (angielski, źródło NVD)

VictoriaMetrics is a scalable solution for monitoring and managing time series data. Prior to 1.122.25, 1.136.12, and 1.146.0, vmrestore does not validate backup part path components before using lib/backup/actions/restore.go and lib/backup/fslocal/fslocal.go to write restored data below storageDataPath. An attacker who can supply or modify an S3, GCS, Azure Blob Storage, or other backup source can place .. components in object names. When an operator restores that source, the crafted names can create or overwrite files outside the intended restore root within the filesystem permissions of the vmrestore process. This issue is fixed in versions 1.122.25, 1.136.12, and 1.146.0.