影响 Windows 版 NetBackup 的安全公告

修订历史记录

• 1.0：2024 年 11 月 4 日：初始版本
• 2.0：2024 年 11 月 26 日：添加了其他修补程序

问题：Windows 上 NetBackup 中的权限提升漏洞

在 Windows 操作系统上运行的 Veritas NetBackup 主服务器、介质服务器和客户端容易受到攻击，攻击者可利用这些攻击来提升权限。

此攻击要求攻击者对安装了 NetBackup 的根驱动器具有写入权限，从而允许他们安装恶意 DLL。如果用户执行特定的 NetBackup 命令，或者攻击者使用社会工程技术诱使用户执行命令，则可能会加载恶意 DLL，从而导致攻击者的代码在用户的安全上下文中执行。

注意：这仅适用于在 Windows 操作系统上运行的 NetBackup 组件。

CVE ID：CVE-2024-52945
严重性：高
CVSS v3.1 基本分数 7.8 （AV：L/AC：L/PR：N/UI：R/S：U/C：H/I：H/A：H)
CWE-427 – 不受控制的搜索路径元素

受影响的组件：NetBackup 客户端、主服务器和介质服务器组件

受影响的版本：10.4.0.1、10.4、10.3.0.1、10.3、10.2.0.1、10.2、10.1.1、10.1、10.0.0.1 和 10.0。较旧的不受支持的版本也可能受到影响。

建议的操作：

• 升级到 NetBackup 10.5 版或
• 升级到 NetBackup 版本 10.4.0.1 并应用修补程序从下载中心
• 升级到 NetBackup 版本 10.3.0.1 并应用修补程序从下载中心
• 升级到 NetBackup 版本 10.2.0.1 并应用修补程序从客户端的下载中心。对于主服务器和媒体服务器，请使用下面列出的替代缓解步骤。
• 升级到 NetBackup 版本 10.1.1 并应用修补程序从客户端的下载中心。对于主服务器和媒体服务器，请使用下面列出的替代缓解步骤。

替代缓解措施：

1. 在安装 NetBackup 的根驱动器下创建一个名为“bin”的目录。如果此目录预先存在，请继续执行步骤 2。

• 示例：C：\bin（如果 NetBackup 安装在 C：\ 驱动器上）

2. 将此新创建的目录限制为仅管理用户。

问题

如对这些漏洞有任何疑问或问题，请联系 Veritas 技术支持 （https://www.veritas.com/support/zh_CN/contact-us)

免責聲明

安全建议按“原样”提供，所有明示或暗示的条件、陈述和保证，包括对适销性、特定用途适用性或不侵权的任何暗示保证，均不予否认，除非此类免责声明被认定为在法律上无效。VERITAS TECHNOLOGIES LLC 不对与提供、执行或使用本文档有关的附带或间接损害负责。本文档中包含的信息如有更改，恕不另行通知。

Veritas Technologies LLC
地址： 2625 Augustine Drive
加利福尼亚州圣克拉拉 95054