VTS22-015

HotFix para o Comunicado de Segurança que afeta o Console de Administração do NetBackup Java

Histórico de Revisões

  • 1.0: 15 de novembro de 2022 - Lançamento público inicial
  • 1.1: 18 de novembro de 2022 – ID do CVE adicionado

Resumo

A Veritas corrigiu uma vulnerabilidade de injeção de comando do sistema operacional que afetava o Console de Administração do NetBackup Java. Consulte a seção "Notas" abaixo para determinar se essa vulnerabilidade se aplica ao seu caso. Somente usuários adicionados explicitamente ao arquivo auth.conf podem explorá-la.

Problemas

Vulnerabilidade de injeção de comando do SO

Uma vulnerabilidade no Console de Administração do NetBackup Java permite que usuários não raiz autenticados que foram explicitamente adicionados ao arquivo auth.conf executem comandos arbitrários como raiz.

  • ID do CVE: CVE-2022-45461
  • Gravidade: Alta
  • Pontuação básica do CVSS v3.1: 7.5 AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
  • Componentes potencialmente afetados: servidores Primary, Media e Clients. Consulte as notas abaixo.
  • Ação recomendada:
    • NetBackup: faça upgrade para 8.2, 8.3.0.1, 8.3.0.2, 9.0.0.1, 9.1.0.1, 10.0.0.1 ou 10.1 e aplique o hotfix correspondente.
    • Appliance NetBackup: faça upgrade para 3.2, 3.3.0.1, 3.3.0.2, 4.0.0.1, 4.1.0.1 ou 5.0.0.1 MR1 e aplique o Hotfix apropriado
    • Appliance Flex: aplique o Hotfix do NetBackup correspondente à versão do NetBackup Container em dispositivos Flex.
    • Flex Scale: entre em contato com o Suporte Técnico da Veritas e consulte o Artigo de conhecimento, ID do artigo 100053006 para obter uma correção.

Observações

O arquivo /usr/openv/java/auth.conf concede acesso a funções no Console de administração do NetBackup. Na forma como esse arquivo é criado por padrão, apenas usuários raiz têm direitos administrativos. Ele está presente em Primary Servers, Media Servers e Clients.

A menos que o arquivo auth.conf seja modificado pela adição de usuários não raiz com permissão de gerenciamento de servidores Primary, Media ou Clients, o ambiente NÃO é vulnerável e a correção não é necessária.

Isso afeta apenas servidores e clientes baseados em Unix. Servidores e clientes baseados em Windows não são afetados.

A correção atualiza o binário bpjava vulnerável no sistema de destino ao qual o console da IU de administração Java se conecta.

Para mais detalhes sobre o auth.conf, consulte: https://www.veritas.com/support/pt_BR/doc/21733320-149123528-0/v41641695-149123528

Dúvidas

Em caso de dúvidas ou problemas relacionados a este aviso, entre em contato com o Suporte Técnico da Veritas (https://www.veritas.com/support/pt_BR)

Agradecimento

A Veritas gostaria de agradecer à equipe Nordea Backup por relatar o problema.

Isenção de Responsabilidade

O COMUNICADO DE SEGURANÇA É FORNECIDO NA FORMA COMO ESTÁ E TODAS AS CONDIÇÕES, REPRESENTAÇÕES E GARANTIAS EXPLÍCITAS OU IMPLÍCITAS, INCLUINDO QUALQUER GARANTIA IMPLÍCITA DE COMERCIABILIDADE, ADEQUAÇÃO A UM FIM ESPECÍFICO OU NÃO VIOLAÇÃO, SÃO RENUNCIADAS, SALVO QUANDO ESSAS ISENÇÕES DE RESPONSABILIDADE SÃO CONSIDERADAS LEGALMENTE INVÁLIDAS. A VERITAS TECHNOLOGIES LLC NÃO SERÁ RESPONSABILIZADA POR DANOS ACIDENTAIS OU CONSEQUENCIAIS RELACIONADOS AO FORNECIMENTO, DESEMPENHO OU USO DESTA DOCUMENTAÇÃO. AS INFORMAÇÕES CONTIDAS NESTA DOCUMENTAÇÃO ESTÃO SUJEITAS A MUDANÇAS SEM AVISO PRÉVIO. QUALQUER INDICAÇÃO FUTURA DE PLANOS PARA PRODUTOS É PRELIMINAR E TODAS AS DATAS DE LANÇAMENTOS FUTUROS SÃO PROVISÓRIAS E ESTÃO SUJEITAS A MUDANÇAS. QUALQUER VERSÃO FUTURA DO PRODUTO OU MODIFICAÇÕES PLANEJADAS DE CAPACIDADE, FUNCIONALIDADE OU RECURSOS DO PRODUTO ESTÃO SUJEITAS À AVALIAÇÃO CONTÍNUA DA VERITAS E PODEM NÃO SER IMPLEMENTADAS, LOGO, NÃO DEVEM SER ENTENDIDAS COMPROMISSOS FIRMES DA VERITAS E NEM CONSIDERADAS NA TOMADA DE DECISÕES.

Veritas Technologies LLC
2625 Augustine Drive
Santa Clara, CA 95054