Cronologia delle revisioni

• 1.0: 23 dicembre 2020: versione iniziale
• 1.1: 8 gennaio 2021: aggiunto ID CVE e aggiornata la sezione Riparazione

Riepilogo

Veritas ha individuato un problema per cui Veritas Backup Exec potrebbe permettere a un malintenzionato di eseguire codice arbitrario con privilegi di amministratore.

Problema

ID CVE: CVE-2020-36167
Gravità: Critica
Punteggio base CVSS v3.1: 9.3 (AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H)

All'avvio, il servizio Backup Exec carica la libreria OpenSSL dalla cartella di installazione di Backup Exec. A sua volta, la libreria cerca di caricare il file di configurazione /usr/local/ssl/openssl.cnf, che potrebbe non esistere. Nei sistemi Windows, il percorso potrebbe essere <unità>:\usr\local\ssl\openssl.cnf, dove <unità> potrebbe essere l'unità di installazione predefinita di Windows, ovvero C:\, oppure la directory root attuale dell'applicazione. Un utente con privilegi ridotti sul sistema Windows e senza privilegi in Backup Exec può creare un file di configurazione in <unità>:\usr\local\ssl\openssl.cnf per caricare un motore OpenSSL pericoloso e, in seguito, eseguire codice arbitrario come SYSTEM all'avvio del servizio. In questo modo, il malintenzionato ottiene l'accesso di amministratore sul sistema, con accesso predefinito a tutti i dati, le applicazioni installate e così via. Se il sistema funge anche da controller di dominio di Active Directory, ciò può riflettersi sull'intero dominio.

Questa vulnerabilità si applica solo ai server Backup Exec e non agli agent Backup Exec.

Versioni interessate

Backup Exec versioni BE 20.x, BE 21.x e 16.x. Potrebbero essere interessate anche versioni precedenti non supportate.

Riparazione

I clienti con un contratto Maintenance attuale possono scaricare e installare aggiornamenti e patch seguendo le indicazioni di seguito:

• Per BE 21.x:
• Installare Backup Exec 21.1 Hotfix 657517 (versione Engineering 21.0.1200.1217)
• Per BE 20.x:
• Installare Backup Exec 20.6 Hotfix 298543 (versione Engineering 20.0.1188.2734)

Questi hot fix saranno disponibili per il download e l'installazione automatici in Veritas Update.

Per Backup Exec versione 16.x o precedenti, Veritas consiglia l'upgrade a Backup Exec 21.1 e l'applicazione di una patch.

Cercare in Veritas Download Center gli aggiornamenti disponibili: https://www.veritas.com/support/it_IT/downloads

Possibile soluzione

Se non si segue una delle soluzioni consigliate precedenti, usare un account amministratore per creare la directory "\usr\local\ssl" nel percorso di root di tutte le unità e impostare il controllo degli accessi in modo da impedire l'accesso in scrittura a tutti gli altri utenti. Così facendo, non sarà possibile installare un motore OpenSSL pericoloso.

Domande

Per domande o problemi relativi a queste vulnerabilità, contattare il supporto tecnico di Veritas (https://www.veritas.com/support/it_IT).