Cronologia delle revisioni

  • 1.0: 13 luglio 2022, versione iniziale
  • 2.0: 18 luglio 2022, aggiornamento per includere ulteriori problemi

Azioni correttive

Per risolvere tutte le vulnerabilità elencate di seguito, effettuare l'aggiornamento alla versione 8.3.0.2, 9.0.0.1, 9.1.0.1 o 10.0 e applicare l'HotFix opportuno indicato in precedenza.

Problema

Problema n. 1: creazione e modifica non autorizzate di account

In condizioni specifiche, un utente malintenzionato remoto autenticato può essere in grado di creare o modificare gli account.

  • ID CVE: CVE-2022-36954
  • Gravità: critica
  • Punteggio base CVSS v3.1: 9,9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
  • Versioni interessate: 10.0 e precedenti
  • Azioni consigliate:
    • Verificare gli account utente di OpsCenter per verificare che la vulnerabilità non sia stata sfruttata nell'implementazione di OpsCenter. Utilizzare queste istruzioni per visualizzare le informazioni sull'account utente di OpsCenter.
    • Effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 2: esecuzione di comandi remoti.

Un utente malintenzionato remoto non autenticato può compromettere l'host sfruttando una vulnerabilità non risolta in modo corretto.

  • ID CVE: CVE-2022-36951
  • Gravità: critica
  • Punteggio base CVSS v3.1: 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • Versioni interessate: 9.1.0.1 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 3: esecuzione di comandi remoti.

Un utente malintenzionato remoto non autenticato potrebbe essere in grado di eseguire un comando remoto attraverso la manipolazione del classloader Java.

  • ID CVE: CVE-2022-36950
  • Gravità: critica
  • Punteggio base CVSS v3.1: 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • Versioni interessate: 8.2 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 4: vulnerabilità Path traversal

NetBackup OpsCenter potrebbe essere vulnerabile a un attacco Path traversal tramite il componente di terze parti esapi-2.2.3.1.

  • CVE ID: CVE-2022-23457
  • Gravità: critica
  • Punteggio base CVSS v3.1: 9,8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • Versioni interessate: 10.0 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 5: escalation dei privilegi locali

Un utente malintenzionato con accesso locale a un server NetBackup OpsCenter potrebbe potenzialmente eseguire l'escalation dei propri privilegi.

  • ID CVE: CVE-2022-36949
  • Gravità: critica
  • Punteggio base CVSS v3.1: 9,3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)
  • Versioni interessate: 8.2 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 6: vulnerabilità credenziali hard-coded

È stata rilevata una credenziale hard-coded in NetBackup OpsCenter che potrebbe essere utilizzata per sfruttare il sistema VxSS sottostante.

  • CVE ID: CVE-2022-36952
  • Gravità: alta
  • Punteggio base CVSS v3.1: 8,4 (AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • Versioni interessate: 10.0 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 7: vulnerabilità DOM XSS

NetBackup OpsCenter è vulnerabile a un attacco DOM XSS.

  • CVE ID: CVE-2022-36948
  • Gravità: media
  • Punteggio base CVSS v3.1: 5,4 (AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
  • Versioni interessate: 10.0 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Problema n. 8: perdita di informazioni

Alcuni endpoint di OpsCenter potrebbero consentire a un utente malintenzionato remoto non autenticato di ottenere informazioni riservate.

  • ID CVE: CVE-2022-36953
  • Gravità: media
  • Punteggio base CVSS v3.1: 4,3 (AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N)
  • Versioni interessate: 8.2 e precedenti
  • Azione consigliata: effettuare l'aggiornamento alla versione 8.3.0.2 o 9.0.0.1 o 9.1.0.1 o 10.0 e applicare l'HotFix opportuno.

Note

È anche possibile utilizzare NetBackup HotFix and EEB Release Auditor on SORT per verificare se è stato rilasciato un Emergency Engineering Binary (EEB) oppure un HotFix in una versione precedente del prodotto. Queste informazioni sono disponibili anche nella NetBackup Emergency Engineering Binary Guide per la versione specifica. Se non si trovano le informazioni relative a un HotFix o un EEB specifico, contattare il supporto tecnico di Veritas.

Domande

Per domande o problemi relativi a questa vulnerabilità, contattare il supporto tecnico di Veritas (https://www.veritas.com/support/it_IT)

Riconoscimenti

Veritas desidera ringraziare i membri del team Airbus Security elencati di seguito per aver segnalato diversi problemi presenti in questo avviso: Mouad Abouhali, Benoit Camredon, Nicholas Devillers, Anais Gantet e Jean-Romain Garnier.

Dichiarazione di non responsabilità

IL PRESENTE AVVISO DI SICUREZZA VIENE FORNITO "COSÌ COM'È" E TUTTE LE CONDIZIONI ESPLICITE O IMPLICITE, DICHIARAZIONI E GARANZIE, COMPRESE LE GARANZIE IMPLICITE DI COMMERCIABILITÀ, IDONEITÀ PER UNO SCOPO SPECIFICO O DI NON VIOLAZIONE DEI DIRITTI, VENGONO ESCLUSE, FATTA ECCEZIONE PER I CASI IN CUI TALI CLAUSOLE DI ESCLUSIONE SIANO GIURIDICAMENTE NON VALIDE. VERITAS TECHNOLOGIES LLC NON POTRÀ ESSERE RITENUTA RESPONSABILE DI DANNI INCIDENTALI O CONSEGUENTI IN RELAZIONE ALL'EROGAZIONE, AL RENDIMENTO O ALL'UTILIZZO DELLA PRESENTE DOCUMENTAZIONE. LE INFORMAZIONI CONTENUTE NEL PRESENTE DOCUMENTO SONO SOGGETTE A MODIFICA SENZA PREAVVISO.

Veritas Technologies LLC,
2625 Augustine Drive,
Santa Clara, CA 95054, USA