Kritik Arcserve UDP güvenlik açıklarına yönelik PoC’ler yayınlandı

Arcserve, Pazartesi günü Tenable araştırmacıları tarafından yayınlanan PoC’ler olan Birleşik Veri Koruma (UDP) çözümündeki kritik güvenlik açıklarını (CVE-2023-41998, CVE-2023-41999, CVE-2023-42000) düzeltti.

Güvenlik açıkları

Arcserve UDP, kuruluşların fidye yazılımı saldırılarına karşı direncini artıran popüler bir kurumsal veri koruma, yedekleme ve felaket kurtarma çözümüdür.

CVE-2023-41998 çözümün güvenlik açığıdır com.ca.arcflash.rps.webservice.RPSService4CPMImpl Kimliği doğrulanmamış uzaktaki bir saldırganın, arayüz içindeki downloadAndInstallPath() yordamı aracılığıyla uzaktan rastgele dosyalar (ve kodlar) yüklemesine ve yürütmesine izin verebilecek arayüz.

“Örneğin, bu yöntemi tetikleyen kötü niyetli bir aktör, hizmetin saldırgan tarafından kontrol edilen bir URL’den zip dosyasını indirmesine neden olabilir. \Motor\BIN\yaması\. Tenable araştırmacıları, zip dosyasının sıkıştırılmış halinin daha sonra açıldığını ve zip dosyasıyla aynı dosya adına sahip sıkıştırılmış bir EXE dosyasının (yani, foo.zip’e sıkıştırılmış foo.exe) yürütüldüğünü açıkladı.

CVE-2023-41999, çözümün yönetim konsolunda, kimliği doğrulanmamış uzaktaki bir saldırganın konsolda oturum açmak için geçerli bir kimlik doğrulama UUID’si elde etmesine izin verebilecek bir güvenlik açığıdır.

“Kimlik doğrulandıktan sonra saldırgan, kimlik doğrulama gerektiren eylemler gerçekleştirebilir. Örneğin, saldırgan ‘Edge Hesabı’nın (yani Yönetici) kimlik bilgilerini ele geçirebilir” diye belirtiyor araştırmacılar.

Son olarak CVE-2023-42000, kimliği doğrulanmamış uzaktaki bir saldırganın UDP aracısının kurulu olduğu dosya sistemindeki herhangi bir konuma rastgele dosyalar yüklemesine olanak tanıyan bir yol geçiş güvenlik açığıdır.

Güvenlik açıkları Arcserve’in v9.2’den önceki UDP sürümlerini etkiliyor.

Düzeltmeler mevcut

Kusurlar Tenable araştırmacıları tarafından ortaya çıkarıldı ve Ağustos 2023’ün sonlarında Arcserve’e özel olarak açıklandı.

Şirket, “Mümkün olan en kısa sürede Arcserve UDP 9.2’ye yükseltmenizi şiddetle tavsiye ediyoruz” dedi. Bu, yerleşik otomatik güncelleme işlevi aracılığıyla veya 9.2 RTM yapısını indirip dağıtarak yapılabilir.

Arcserve ayrıca Arcserve UDP’nin eski (desteklenen) sürümleri için manuel yamalar da sağlamıştır: 9.1., 8.1 ve 7.0 Güncelleme 2 (bunlar her düğümde ayrı ayrı çalıştırılmalıdır).