De US Cybersecurity and Infrastructure Security Agency (CISA) heeft een beveiligingsfout met hoge ernstige beveiliging toegevoegd die van invloed is op Nakivo Backup & Replication Software aan de bekende uitgebuite catalogus van de Vulnerabilities (KEV), met betrekking tot actieve exploitatie.
De kwetsbaarheid in kwestie is CVE-2024-48248 (CVSS-score: 8.6), een absolute pad-traversale bug waarmee een niet-geauthenticeerde aanvaller bestanden op de doelhost kan lezen, inclusief gevoelige, zoals “/etc/schaduw” via het eindpunt “/c/router.” Het beïnvloedt alle versies van de software voorafgaand aan versie 10.11.3.86570.
“Nakivo -back -up en replicatie bevatten een absolute padverbindingskwetsbaarheid waarmee een aanvaller willekeurige bestanden kan lezen,” zei CISA in een advies.
Succesvolle exploitatie van de tekortkoming kan een tegenstander in staat stellen gevoelige gegevens te lezen, inclusief configuratiebestanden, back -ups en referenties, die vervolgens als een opstap voor verdere compromissen kunnen fungeren.
Er zijn momenteel geen details over hoe de kwetsbaarheid wordt geëxploiteerd in het wild, maar de ontwikkeling komt nadat Watchtowr Labs een proof-of-concept (POC) had gepubliceerd tegen het einde van vorige maand. De kwestie is aangepakt vanaf november 2024 met versie V11.0.0.88174.
Het cybersecuritybedrijf merkte verder op dat de niet -geauthenticeerde willekeurige kwetsbaarheid van het bestand kan worden bewapend om alle opgeslagen referenties te verkrijgen die worden gebruikt door de Target Nakivo -oplossing en gehost in de database “Product01.h2.db”.
Ook toegevoegd aan de KEV -catalogus zijn twee andere fouten –
- CVE-2025-1316 (CVSS-score: 9.3)-EDIMAX IC-7100 IP-camera bevat een kwetsbaarheid van de OS-commando-injectie als gevolg van onjuiste invoerinvoeringsinstelling waarmee een aanvaller de externe code-uitvoering kan bereiken via speciaal vervaardigde verzoeken (ongecontroleerd vanwege het apparaat dat het einde van het leven bereikt)
- CVE-2017-12637 (CVSS SCORE: 7.5) – SAP NetWeaver Application Server (AS) Java bevat een directory -doorverwegingskwetsbaarheid in Scheduler/UI/JS/FffffFFFBCA41EB4/UiutiljavaScriptjs waarmee een externe aanvaller arbitrage bestanden kunt lezen via A .. (DOT DOT) in de Query String
Vorige week onthulde Akamai dat CVE-2025-1316 door slechte acteurs wordt bewapend om camera’s te richten met standaardreferenties om sinds 2024 ten minste twee verschillende Mirai Botnet-varianten te implementeren.
In het licht van actieve uitbuiting moeten federale civiele executive tak (FCEB) agentschappen de nodige mitigaties toepassen tegen 9 april 2025, om hun netwerken te beveiligen.
