修订历史记录

  • 1.0：2022 年 7 月 13 日 – 初版
  • 2.0：2022 年 7 月 18 日 – 更新了其他问题

补救措施

要解决下列所有漏洞，请升级至版本 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并应用上方链接的适当热修补程序。

问题

问题 1：未授权的帐户创建、修改

在特定情况下，经过身份验证的远程攻击者可能会创建或修改帐户。

  • CVE ID：CVE-2022-36954
  • 严重性：严重
  • CVSS v3.1 基础评分：9.9 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
  • 受影响的版本：10.0 及更早版本
  • 建议采取的措施：
    • 检查 OpsCenter 用户帐户，确保此漏洞不会在 OpsCenter 实施中被利用。使用这些说明检查 OpsCenter 用户帐户信息。
    • 升级到 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并应用适当的热修补程序。

问题 2：执行远程命令。

未经过身份验证的远程攻击者可能会利用错误修补的漏洞危害主机。

  • CVE ID：CVE-2022-36951
  • 严重性：严重
  • CVSS v3.1 基础评分：9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • 受影响的版本：9.1.0.1 及更早版本
  • 建议采取的措施：升级到 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并根据需要应用热修补程序。

问题 3：执行远程命令。

未经过身份验证的远程攻击者可能通过 Java Classloader 操作执行远程命令。

问题 4：路径遍历漏洞

NetBackup OpsCenter 可能会受到通过 esapi-2.2.3.1 第三方组件发动的路径遍历攻击。

  • CVE ID：CVE-2022-23457
  • 严重性：严重
  • CVSS v3.1 基础评分：9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • 受影响的版本：10.0 及更早版本
  • 建议采取的措施：升级到 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并应用热修补程序。

问题 5：本地权限升级

具有 NetBackup OpsCenter 服务器本地权限的攻击者可能会升级他们的权限。

问题 6：硬编码凭据漏洞

在 NetBackup OpsCenter 中发现了一个硬编码凭据，可能会被利用来攻击底层的 VxSS 子系统

  • CVE ID：CVE-2022-36952
  • 严重性：高
  • CVSS v3.1 基础评分：8.4 (AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
  • 受影响的版本：10.0 及更早版本
  • 建议采取的措施：升级到 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并应用相应的热修补程序。

问题 7：DOM XSS 漏洞

NetBackup OpsCenter 易受 DOM XSS 攻击。

  • CVE ID：CVE-2022-36948
  • 严重性：中
  • CVSS v3.1 基础评分：5.4 (AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N)
  • 受影响的版本：10.0 及更早版本
  • 建议采取的措施：升级到 8.3.0.2、9.0.0.1、9.1.0.1 或 10.0，并应用相应的热修补程序。

问题 8：信息泄露

某些 OpsCenter 端点可能会允许未经过身份验证的远程攻击者获取敏感信息。

注意事项

您还可以使用 SORT 中的 NetBackup HotFix and EEB Release Auditor 检查之前的紧急二进制文件 (EEB) 或热修补程序是否已在已发布的产品版本中提供。此信息还可在该版本的《NetBackup Emergency Engineering Binary Guide》中找到。如果您未看到与您预期的热修补程序或 EEB 有关的信息，请与 Veritas 技术支持联系。

疑问

如有关于此漏洞的疑问或问题，请联系 Veritas 技术支持 (https://www.veritas.com/support/zh_CN)

鸣谢

Veritas 非常感谢以下 Airbus 安全团队成员告知我们本通报中的几个问题：Mouad Abouhali、Benoit Camredon、Nicholas Devillers、Anais Gantet 和 Jean-Romain Garnier。

免责声明

本安全公告按“原样”提供，对于所有明示或暗示的条款、陈述和保证，包括任何适销性、针对特定用途的适用性或未侵权的暗示保证，均不提供任何担保，除非此类免责声明的范围在法律上视为无效。Veritas Technologies LLC 不对任何与提供、执行或使用本文档相关的伴随或后果性损害负责。本文档所含信息如有更改，恕不另行通知。

Veritas Technologies LLC
2625 Augustine Drive
Santa Clara, CA 95054