BDU:2023-00002 (CVE-2022-45461) — уязвимость консоли Java Admin Console программных средств для резервного копирования и восстановления данных NetBackup
По данным БДУ ФСТЭК России, по состоянию на 02.01.2023.
Высокий — 7.5/10 Устранена
Уязвимость консоли Java Admin Console программных средств для резервного копирования и восстановления данных NetBackup Appliance и NetBackup связана с непринятием мер по нейтрализации специальных элементов, используемых в командах операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды от имени root-пользователя
Кого касается и что делать
- Уязвимое ПО: NetBackup (Veritas Technologies) — версии до 8.2, от 8.3.0 до 8.3.0.1, от 9.0.0 до 9.0.0.1, от 9.1.0 до 9.1.0.1, от 10.0.0 до 10.0.0.1, от 10.1.0 до 10.1 Hotfix; NetBackup Appliance (Veritas Technologies) — версии до 3.2, от 3.3.0 до 3.3.0.1, от 4.0.0 до 4.0.0.1, от 4.1.0 до 4.1.0.1, от 5.0.0 до 5.0.0.1 MR1 SP1
- Что делать: уязвимость устранена производителем — применить исправления: www.veritas.com
Сведения об уязвимости
| Идентификаторы | BDU:2023-00002 · CVE-2022-45461 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.1) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость консоли Java Admin Console программных средств для резервного копирования и восстановления данных NetBackup Appliance и NetBackup, позволяющая нарушителю выполнить произвольные команды от имени root-пользователя |
| Даты | Опубликована: 01.01.2023 · Обновлена ФСТЭК: 02.01.2023 · Выявлена: 15.11.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-78 — непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы); CWE-264 — разрешения, привилегии и средства управления доступом; CWE-269 — небезопасное управление привилегиями |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: инъекция, нарушение авторизации |
Уязвимое ПО
- NetBackup (Veritas Technologies) — версии до 8.2, от 8.3.0 до 8.3.0.1, от 9.0.0 до 9.0.0.1, от 9.1.0 до 9.1.0.1, от 10.0.0 до 10.0.0.1, от 10.1.0 до 10.1 Hotfix · программное средство защиты
- NetBackup Appliance (Veritas Technologies) — версии до 3.2, от 3.3.0 до 3.3.0.1, от 4.0.0 до 4.0.0.1, от 4.1.0 до 4.1.0.1, от 5.0.0 до 5.0.0.1 MR1 SP1 · программное средство защиты
ОС и платформы
- Unix (Сообщество свободного программного обеспечения)
- Linux (Сообщество свободного программного обеспечения)
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
- удаление из файла auth.conf неиспользуемых учетных записей, а также учетных записей недоверенных пользователей
- использование средств межсетевого экранирования для ограничения удаленного доступа
- минимизация пользовательских привилегий
- использование антивирусных средств защиты
- мониторинг действий пользователей.
Использование рекомендаций:
www.veritas.com/content/support/en_US/security/VTS22-015
Данная уязвимость затрагивает только серверы и клиенты на базе Unix. Серверы и клиенты на базе Windows не затронуты.
