Veritas NetBackup 6.x/7.x NetBackup Process 特権昇格

履歴差分リンクするjsonxmlCTI

CVSS 一時的なメタスコア	現在のエクスプロイト価格 (≈)	CTI注目指数
6.2	$0-$5k	0.00

要約情報

現在、Veritas NetBackup 6.x/7.xにて、問題があると分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【NetBackup Process】の未知の機能です。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。攻撃はローカルでアプローチされる必要があります。影響を受けたコンポーネントのアップグレードを推奨します。

現在、Veritas NetBackup 6.x/7.xにて、問題があると分類される脆弱性が確認されています。この問題により影響を受けるのは、コンポーネント【NetBackup Process】の未知の機能です。未知の値で改ざんすることが、特権昇格を突く攻撃に繋がります}。問題をCWEで宣言すると、CWE-269 になります。この脆弱性は 2017年03月01日に Googleの Sven Blumenstein, Xiaoran Wang and Andrew Griffithsより「Full-Disclosure」の Mailinglist Postにて「Veritas NetBackup v6.x, v7.x, v8.0 and NetBackup appliances v2.x, v3.0 - Multiple Critical Vulnerabilities」として紹介されました。アドバイザリーは seclists.org で共有されています。ベンダーとの協議が行われないまま公開されました。

攻撃はローカルでアプローチされる必要があります。技術的な情報は提供されていません。攻撃の実行には高い複雑性が求められます。悪用は困難なようです。この脆弱性の一般的な利用度は平均を下回っています。現時点で、脆弱性の構成から考えられる取引価格帯を約$0-$5k米ドルと算出しました。 MITRE ATT&CKプロジェクトは、攻撃手法を T1068 と定義しています。アドバイザリーは次を指摘しています。

Multiple critical vulnerabilities were identified in Veritas NetBackup and NetBackup appliance. The vulnerabilities were discovered during a black box security assessment and therefore the vulnerability list should not be considered exhaustive.

このエクスプロイトツールは未定義として宣言されています。脆弱性は、少なくとも 92 日の間、非公開の0day攻撃ツールとして扱われました。 0-dayの際、アンダーグラウンド市場での想定価格は$0-$5k前後でした。

8.0にアップグレードすることで、本問題を解消できます。影響を受けたコンポーネントのアップグレードを推奨します。アドバイザリには次の注記が含まれています：