- Aktif istismar
- CWE-287
CVE-2021-27876
Veritas Backup Exec Agent'ta kimlik doğrulama atlatılarak dosya erişimi sağlanabilmesi
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2066 gün
- Kaydı açan
- mitre
ÖzetTürkçe
Veritas Backup Exec'in 21.2 sürümünden önceki sürümlerinde bir sorun tespit edilmiştir. Bir istemci ile Agent arasındaki iletişim, genellikle güvenli bir TLS iletişimi üzerinden tamamlanan başarılı bir kimlik doğrulaması gerektirir. Ancak SHA Authentication şemasındaki bir güvenlik açığı nedeniyle saldırgan yetkisiz erişim elde edip kimlik doğrulama sürecini tamamlayabilmektedir. Bunun ardından istemci, doğrulanmış bağlantı üzerinden veri yönetimi protokolü komutlarını çalıştırabilmektedir. Saldırgan, bu komutlardan birinde özel olarak hazırlanmış giriş parametreleri kullanarak System ayrıcalıklarıyla sistemdeki rastgele bir dosyaya erişebilmektedir.
Kaynaktaki açıklama (İngilizce)
An issue was discovered in Veritas Backup Exec before 21.2. The communication between a client and an Agent requires successful authentication, which is typically completed over a secure TLS communication. However, due to a vulnerability in the SHA Authentication scheme, an attacker is able to gain unauthorized access and complete the authentication process. Subsequently, the client can execute data management protocol commands on the authenticated connection. By using crafted input parameters in one of these commands, an attacker can access an arbitrary file on the system using System privileges.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Veritas Backup Exec Agent | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.