修订历史记录

• 1.0：2020 年 12 月 23 日：初始版
• 1.1：2021 年 1 月 8 日：添加了 CVE ID，更新了“补救措施”和“缓解方案”部分

摘要

Veritas 在持续测试过程中发现了一个问题，即 Veritas NetBackup 和 OpsCenter 可能会允许攻击者以管理员权限运行任意代码。

问题 1

CVE ID：CVE-2020-36169
严重性：严重
CVSS v3.1 基础评分： 9.3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

使用 OpenSSL 的 NetBackup 进程尝试从 Windows 操作系统上默认情况下不存在的路径加载并执行库。默认情况下，用户可在 Windows 系统的任何驱动器上创建目录。例如 C:\。如果 Windows 系统上的低权限用户使用 NetBackup 尝试加载的库创建受影响的路径，则这些用户可以 SYSTEM 或管理员身份执行任意代码。这会授予攻击者对系统的管理员访问权限，进而允许攻击者（默认情况下）访问所有数据以及所有已安装的应用程序等。

此漏洞会影响 Windows 平台上的 NetBackup 主服务器、介质服务器、客户端以及 OpsCenter 服务器。

在 NetBackup 安装或升级期间以及安装后正常运行期间，系统容易受到攻击。

问题 2

CVE ID：CVE-2020-36163
严重性：严重
CVSS v3.1 基础评分：9.3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

使用 Strawberry Perl 的 NetBackup 进程尝试从 Windows 操作系统上默认情况下不存在的路径加载并执行库。默认情况下，用户可在 Windows 系统的 C:\ 下创建目录。如果 Windows 系统上的低权限用户使用 NetBackup 尝试加载的库创建受影响的路径，则这些用户可以 SYSTEM 或管理员身份执行任意代码。这会授予攻击者对系统的管理员访问权限，进而允许攻击者（默认情况下）访问所有数据以及所有已安装的应用程序等。

此漏洞会影响 Windows 平台上的 NetBackup 主服务器、介质服务器、客户端以及 OpsCenter 服务器。

在所有系统上安装或升级 NetBackup 期间以及在主服务器、介质服务器和 OpsCenter 服务器上安装 NetBackup 后正常运行期间，系统容易受到攻击。

受影响的版本

NetBackup 和 OpsCenter 版本 8.3.0.1 及早期版本会受影响。

此问题仅影响 Windows 平台。

CloudPoint：如果使用 CloudPoint，请查看 Veritas CloudPoint 安全通报中的详细说明。

补救措施

签署了当前维护合同的客户可以下载并安装 NetBackup 修补程序，以此修复已安装的 NetBackup 主服务器、介质服务器和客户端的漏洞。安装 OpsCenter 修补程序，以此修复已安装的 OpsCenter 的漏洞。

如果要安装或升级到受影响的 NetBackup 或 OpsCenter 版本，在开始安装或升级之前，请按照“缓解方案”部分所列的步骤操作。注意：即使是从已安装修补程序的版本升级，也需执行这些步骤。安装或升级完成后，为已安装的 NetBackup/OpsCenter 版本安装修补程序。

建议采取的措施：

缓解方案

注意：Veritas 强烈建议运行版本 9.0 或更高版本或者修正版本。

• 解决办法

• 在应用修补程序（如可用）或者将系统更新到版本 9.0 或更高版本之前，此解决办法会降低风险。
• 保护目录
• 使用管理员帐户创建下述目录并在目录上设置 ACL，以拒绝其他所有用户的写入权限。
• 如果目录已存在且 ACL 允许其他用户的写入权限，则您必须更新 ACL 以仅允许管理员帐户的写入权限。
• 不应删除这些目录。
• \usr\local\ssl
• 操作系统安装驱动器：例如 C:\usr\local\ssl
• NetBackup 安装驱动器：例如 D:\usr\local\ssl
• C:\strawberry（8.1.2 及更高版本）
• C:\Temp\strawberry（8.1.1 及更低版本）
• 对于任何 NetBackup 命令，在运行 NetBackup 命令之前需向包含该命令的目录添加“cd”。

撤销非管理员用户的写入权限的示例如下：



• 现有安装

• 如果修补程序可用
• 为已安装的版本应用修补程序
• 如果修补程序不可用
• 采用上述解决办法步骤

• 新安装

• 如果安装的是版本 9.0 或更高版本
• 执行新安装
• 无需采取进一步措施
• 如果安装的是低于 9.0 的版本
• 采用上述解决办法步骤
• 执行新安装
• 如果修补程序可用
• 为已安装的版本应用修补程序

• 升级安装

• o 如果升级到版本 9.0 或更高版本
• 执行升级
• 可以删除解决办法中提及的目录。
• 如果升级到低于 9.0 的版本
• 采用上述解决办法步骤
• 即使是从已安装修补程序的版本升级，也需要执行这些步骤
• 执行升级
• 如果修补程序可用
• 为新版本应用修补程序

下载信息

注意：这些下载项可以解决本文档开头指出的两个漏洞。

• 修补程序
• 适用于 NetBackup 8.1.2 的 OpenSSL 更新修补程序
• NetBackup 8.1.2 – Windows 主服务器或介质服务器上的 OpenSSL 升级 (ET 4020525)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD637939
• NetBackup 8.1.2 修补程序 – Windows 客户端上的 OpenSSL 升级 (ET 4021310)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD748218
• NetBackup OpsCenter 8.1.2 修补程序 – Windows OpsCenter 服务器上的 OpenSSL 升级 (ET 4021454)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD471540
• 适用于 NetBackup 8.2 的 OpenSSL 更新修补程序
• NetBackup 8.2 修补程序 – Windows 主服务器或介质服务器上的 OpenSSL 升级 (ET 4020077)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD255190
• NetBackup 8.2 修补程序 – NetBackup Windows 客户端上的 OpenSSL 升级 (ET 4021217)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD450754
• NetBackup OpsCenter 8.2 修补程序 – Windows OpsCenter 服务器上的 OpenSSL 升级 (ET 4021453)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD518556
• 适用于 NetBackup 8.3 的 OpenSSL 更新修补程序
• NetBackup 8.3 修补程序 – Windows 主服务器或介质服务器上的 OpenSSL 升级 (ET 4021901)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD475064
• NetBackup 8.3 修补程序 – Windows 客户端上的 OpenSSL 升级 (ET 4022116)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD870749
• NetBackup OpsCenter 8.3 修补程序 – Windows OpsCenter 服务器上的 OpenSSL 升级 (ET 4022185)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD606869
• 适用于 NetBackup 8.3.0.1 的 OpenSSL 更新修补程序
• NetBackup 8.3.0.1 修补程序 – Windows 主服务器或介质服务器上的 OpenSSL 升级 (ET 4019812)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD793441
• NetBackup 8.3.0.1 修补程序 – Windows 客户端上的 OpenSSL 升级 (ET 4021146)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD882155
• NetBackup OpsCenter 8.3.0.1 修补程序 – Windows OpsCenter 服务器上的 OpenSSL 升级 (ET 4021447)
• https://www.veritas.com/content/support/zh_CN/downloads/update.UPD480348

疑问

如有关于这些漏洞的疑问或问题，请联系 Veritas 技术支持 (https://www.veritas.com/support/zh_CN)。