Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-36

CVE-2024-48248

NAKIVO Backup & Replication'da mutlak yol geçişi (path traversal) zafiyeti

NAKIVO Backup & Replication Director

Yüksek 8,6 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
603 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 19 Mar 2025 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 9 Nis 2025.

ÖzetTürkçe

NAKIVO Backup & Replication, 11.0.0.88174 sürümünden önce, /c/router adresindeki getImageByPath üzerinden mutlak yol geçişine (absolute path traversal) izin vererek dosyaların okunmasına olanak tanıyor. Bu durum, PhysicalDiscovery bileşeninin açık metin kimlik bilgileri içermesi nedeniyle tüm kurumsal ortamda uzaktan kod çalıştırmaya yol açabilir.

Kaynaktaki açıklama (İngilizce)

NAKIVO Backup & Replication before 11.0.0.88174 allows absolute path traversal for reading files via getImageByPath to /c/router (this may lead to remote code execution across the enterprise because PhysicalDiscovery has cleartext credentials).

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
NAKIVO Backup & Replication Director < 11.0.0.88174 11.0.0.88174

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.