VTS22-008
NetBackup 클라이언트에 영향을 미치는 보안 권고를 위한 핫픽스
개정 내역
- 1.0: 2022년 7월 18일: 최초 릴리스
요약
베리타스는 NetBackup 클라이언트에 영향을 미치는 두 가지 취약점을 해결했습니다.
문제
문제 #1: 임의의 명령 실행
NetBackup 클라이언트를 사용하면 동일한 도메인의 유효한 호스트 ID NetBackup 인증서/개인 키에 액세스할 수 있는 모든 원격 호스트에서 임의의 명령을 실행할 수 있습니다.
- CVE ID: CVE-2022-36956
- 심각도: 심각
- CVSS v3.1 기본 점수: 9.0 (AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H)
- 영향받는 버전: 9.0.x, 9.1.x
- 권장 작업:
- NBU 클라이언트를 10.0으로 업그레이드 – 핫픽스 필요 없음, 또는
- NBU 클라이언트를 9.1.0.1로 업그레이드하고 VTS22-008 - NetBackup 9.1.0.1 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4066508) 를 적용, 또는
- NBU 클라이언트를 9.0.0.1로 업그레이드하고 VTS22-008 - NetBackup 9.0.0.1 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4067247) 를 적용, 또는
- NBU 클라이언트 버전 8.3.x 및 이전 버전의 경우 - 취약하지 않음 - 해당 없음
문제 #2: 권한 에스컬레이션
NetBackup 클라이언트에 대한 권한 없는 로컬 액세스 권한이 있는 공격자는 특정 명령을 보내 권한을 에스컬레이션할 수 있습니다.
- CVE ID: CVE-2022-36955
- 심각도: 높음
- CVSS v3.1 기본 점수: 7.8 (AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H)
- 영향받는 버전: 9.1.x, 9.0.x, 8.3.x, 8.2 이전 버전
- 권장 작업:
- NBU 클라이언트를 10.0으로 업그레이드 – 핫픽스 필요 없음, 또는
- NBU 클라이언트를 9.1.0.1로 업그레이드하고 VTS22-008 - NetBackup 9.1.0.1 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4066508)를 적용, 또는
- NBU 클라이언트를 9.0.0.1로 업그레이드하고 VTS22-008 - NetBackup 9.0.0.1 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4067247)를 적용, 또는
- NBU 클라이언트를 8.3.0.2로 업그레이드하고 VTS22-008 - NetBackup 8.3.0.2 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4066512)를 적용, 또는
- NBU 클라이언트 8.2의 경우 VTS22-008 - NetBackup 8.2 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack 4068828)를 적용
- NBU 클라이언트 8.1.2의 경우 VTS22-008 - NetBackup 8.1.2 클라이언트에 영향을 미치는 보안 권고 핫픽스(Etrack-4071637) 를 적용
참고
이러한 취약점에 대한 관련 주 및 미디어 서버 수정 사항은 VTS22-004에 대한 보안 권고 부분에서 이미 해결되었습니다.
감사의 말
베리타스는 문제 #2에 대해 알려 주신 Mouad Abouhali, Benoit Camredon, Nicholas Devillers, Anais Gantet, Jean-Romain Garnier 등 Airbus 보안 팀원분들께 감사드립니다.
질문
이 취약점에 대한 질문이나 문제가 있으시면 베리타스 기술 지원 (https://www.veritas.com/support) 에 문의하시기 바랍니다.
면책 조항
이 보안 권고는 '있는 그대로' 제공되며 상품성, 특정 목적에의 적합성, 비침해성에 대한 묵시적인 보증을 비롯한 모든 명시적/묵시적 조건, 제시 및 보증에 대해 책임을 지지 않습니다. 단, 이러한 조건, 제시 및 보증의 배제가 법적으로 무효가 되는 경우는 예외로 합니다. Veritas Technologies LLC는 이 문서의 제공, 실행 또는 사용과 관련되는 우발적 손해 또는 결과적 손해에 대해 책임을 지지 않습니다. 이 문서의 정보는 예고 없이 변경될 수 있습니다.
Veritas Technologies LLC 2625
Augustine Drive
Santa Clara, CA 95054