VTS24-012

Windows 上の NetBackup に影響するセキュリティアドバイザリ

改訂履歴

1.0: 2024年11月4日: 初期バージョン
2.0: 2024年11月26日: 追加のホットフィックスを追加

問題: Windows 上の NetBackup の権限昇格の脆弱性

Windows OS で実行されている Veritas NetBackup プライマリサーバー、メディアサーバー、およびクライアントは、特権の昇格に使用される可能性のある攻撃に対して脆弱です。

この攻撃では、攻撃者はNetBackupがインストールされているルートドライブへの書き込みアクセス権を持っている必要があり、悪意のあるDLLをインストールできるようになります。ユーザーが特定の NetBackup コマンドを実行したり、攻撃者がソーシャルエンジニアリング手法を使用してユーザーにコマンドを実行させたりすると、悪意のある DLL が読み込まれ、ユーザーのセキュリティコンテキストで攻撃者のコードが実行される可能性があります。

注: これは、Windows オペレーティングシステム上で実行されている NetBackup コンポーネントにのみ適用されます。

CVE ID: CVE-2024-52945
重大度: 高
CVSS v3.1 ベーススコア 7.8 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
CWE-427 – 制御されていない検索パス要素

影響を受けるコンポーネント:NetBackup クライアント、プライマリ・サーバ、メディア・サーバのコンポーネント

影響を受けるバージョン: 10.4.0.1、10.4、10.3.0.1、10.3、10.2.0.1、10.2、10.1.1、10.1、10.0.0.1、および 10.0。サポートされていない古いバージョンも影響を受ける可能性があります。

推奨アクション:

NetBackup バージョン 10.5 にアップグレードするか、
NetBackup バージョン 10.4.0.1 にアップグレードして適用しますホットフィックスダウンロードセンターから
NetBackup バージョン 10.3.0.1 にアップグレードして適用しますホットフィックスダウンロードセンターから
NetBackup バージョン 10.2.0.1 にアップグレードして適用しますホットフィックスクライアントのダウンロードセンターから。プライマリサーバーとメディアサーバーの場合は、次に示す代替軽減策の手順を使用します。
NetBackup バージョン 10.1.1 にアップグレードして適用するホットフィックスクライアントのダウンロードセンターから。プライマリサーバーとメディアサーバーの場合は、次に示す代替軽減策の手順を使用します。

代替の緩和策:

1. NetBackup がインストールされているルートドライブの下に「bin」という名前のディレクトリを作成します。このディレクトリが事前に存在する場合は、ステップ 2 に進みます。

例: C:\bin (NetBackup が C:\ ドライブにインストールされている場合)

2. この新しく作成されたディレクトリを管理ユーザーのみに制限します。

問

これらの脆弱性に関する質問や問題については、ベリタスのテクニカルサポート (https://www.veritas.com/support/ja_JP/contact-us)

免責事項

セキュリティアドバイザリは「現状のまま」提供され、商品性、特定目的への適合性、または非侵害の黙示の保証を含む、明示的または黙示的なすべての条件、表明、および保証は、そのような免責事項が法的に無効であると判断される範囲を除き、否認されます。VERITAS TECHNOLOGIES LLC は、本書の提供、性能、または使用に関連する偶発的または結果的な損害について責任を負わないものとします。このドキュメントに含まれる情報は、予告なしに変更される場合があります。

ベリタステクノロジーズLLC
2625オーガスティンドライブ
サンタクララ、カリフォルニア州95054