NAKIVO Backup & Replication Seite 5

Eine Path-Traversal-Schwachstelle (unzureichende Beschränkung eines Pfadnamens auf ein zulässiges Verzeichnis) in der Backup-Task-Funktion von Synology Hyper Backup vor Version 4.1.2-4036 erlaubt es entfernten authentifizierten Nutzern, auf Pfade ausserhalb des vorgesehenen Verzeichnisses zuzugreifen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Synology Hyper Backup 4.1.2-4036 oder neuer aktualisieren.

In Keycloak wurde festgestellt, dass die Umgebungsoption KC_CACHE_EMBEDDED_MTLS_ENABLED nicht wirkt: Die JGroups-Replikationskonfiguration läuft immer im Klartext, unabhängig von der gesetzten Option. Dadurch kann ein Angreifer im selben Netzwerksegment die Replikationskommunikation zwischen Cluster-Knoten mitlesen. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin WPvivid Backup & Migration ist in Versionen bis einschliesslich 0.9.131 anfällig für SQL Injection über den Parameter export_data. Ursache ist eine unzureichende Escaping-Behandlung. CVSS-Basiswert: 4.9 (Mittel).

In der Komponente Server: Replication der Produkte MySQL Server und MySQL Cluster von Oracle MySQL besteht eine Schwachstelle. Betroffen sind MySQL Server 8.4.0 bis 8.4.10 und 9.7.0 bis 9.7.1 sowie MySQL Cluster. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Den Remote-Function-Call-Modulen (RFC) der Operational Data Provisioning Data Replication API (ODP-RFC) fehlt die Identifikation zulässiger SAP-interner aufrufender Anwendungen. Dadurch können die Module in unerwünschter Weise genutzt werden. CVSS-Basiswert: 6.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von SAP bereitgestellten Sicherheitsupdates einspielen.

Der Apply-Worker von pglogical validiert laut NVD die Länge bestimmter Felder in eingehenden Replikationsprotokoll-Nachrichten nicht ausreichend, bevor sie kopiert werden. Dies kann zu einem Out-of-Bounds-Read führen. CVSS-Basiswert und EPSS-Wert liegen für diesen Eintrag nicht vor.

Für die dateibasierte Web-Plattform Grav besteht vor Version 1.7.53 eine Schwachstelle: Ein authentifizierter Administrator mit Backup-Berechtigung kann ein ZIP-Archiv herunterladen, das das gesamte Grav-Installationsverzeichnis einschliesslich Benutzer- bzw. Kontodaten enthält. Der CVSS-Basiswert liegt bei 6.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin All-in-One WP Migration and Backup bereinigt in Versionen vor 7.106 einen benutzergesteuerten Wert nicht korrekt, bevor dieser zum Aufbau eines Dateipfads verwendet wird. Dadurch können nicht authentifizierte Angreifer die Erstellung von Dateien beeinflussen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Network-AI ist ein Multi-Agent-Orchestrator für TypeScript/Node.js. In Versionen vor 5.12.2 berechnet EnvironmentManager.restore(env, backupId) den Backup-Pfad mit join(envDir, '.backups', backupId), ohne die backupId ausreichend zu prüfen. Ein lokaler, angemeldeter Angreifer kann dadurch die Vertraulichkeit stark und die Integrität teilweise beeinträchtigen. CVSS-Basiswert: 6.1 (Mittel), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf Network-AI 5.12.2 oder neuer.

Network-AI ist ein Multi-Agent-Orchestrator für TypeScript/Node.js. In Versionen vor 5.12.2 sammelt EnvironmentManager.backup() Dateien rekursiv über die Funktion _collectBackupFiles(). Ein lokaler, angemeldeter Angreifer kann darüber die Vertraulichkeit stark beeinträchtigen. CVSS-Basiswert: 5.5 (Mittel), Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Aktualisierung auf Network-AI 5.12.2 oder neuer.

Eine Schwachstelle in der Komponente Server: Replication von Oracle MySQL Server und MySQL Cluster betrifft laut Quelle MySQL Server 8.4.0–8.4.10 und 9.7.0–9.7.1 sowie die entsprechenden Cluster-Versionen. Die Ausnutzung erfolgt lokal und wirkt sich auf die Verfügbarkeit aus (Vektor AV:L/AC:L/PR:N, A:H). CVSS-Basiswert: 6.2 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Im Produkt MySQL Server bzw. MySQL Cluster von Oracle MySQL besteht eine Schwachstelle in der Komponente Server: Replication. Betroffen sind laut Quelldaten die unterstützten Versionen MySQL Server 8.4.0 bis 8.4.10 und 9.7.0 bis 9.7.1 sowie MySQL Cluster. CVSS-Basiswert: 6.4 (Mittel). Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle in MySQL Server bzw. MySQL Cluster (Oracle MySQL, Komponente Server: Group Replication GCS) betrifft die MySQL-Server-Versionen 8.4.0 bis 8.4.10 und 9.7.0 bis 9.7.1. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die von Oracle bereitgestellten Sicherheitsupdates einspielen.

Eine Schwachstelle in den Produkten MySQL Server und MySQL Cluster von Oracle MySQL (Komponente: Server: Replication) betrifft laut Quelle die Versionen MySQL Server 8.4.0 bis 8.4.10 sowie 9.7.0 bis 9.7.1. Ein hoch privilegierter Angreifer mit lokalem Zugang kann die Verfügbarkeit des Servers beeinträchtigen. CVSS-Basiswert: 4.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: das im Rahmen des Oracle Critical Patch Update bereitgestellte Sicherheitsupdate einspielen.

In der Ansible-Collection redhat-leapp wurde eine Schwachstelle gefunden. Wird eine Remediation-Aufgabe mit erhöhten Rechten ausgeführt und dabei die Option leapp_old_postgresql_data gewählt, entsteht ein PostgreSQL-Datensicherungsarchiv. CVSS-Basiswert: 5.5 (Mittel).

In Synology Active Backup for Business Agent vor Version 3.1.0-4967 ermöglicht ein Origin-Validation-Fehler lokalen Benutzern das Schreiben beliebiger Dateien mit eingeschränktem Inhalt während der Installation. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In der Komponente cluster-admin:backup-datastore von Controller v12.0.5 besteht eine Schwachstelle, die es Angreifern über eine präparierte Anfrage erlaubt, einen Directory Traversal auszuführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In der Replication-Komponente von Oracle MySQL Server und MySQL Cluster besteht eine Schwachstelle. Betroffen sind laut Quelldaten MySQL Server 8.4.0 bis 8.4.10 und 9.7.0 bis 9.7.1 sowie MySQL Cluster in den entsprechenden Versionen. CVSS-Basiswert: 2.2 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: die von Oracle bereitgestellten Aktualisierungen einspielen.

Das Plugin Migration, Backup, Staging – WPvivid Backup & Migration für WordPress ist durch unzureichende Prüfung des Dateipfads in der Funktion delete_cancel_staging_site anfällig für das Löschen beliebiger Verzeichnisse. CVSS-Basiswert: 3.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung des Plugins nach Verfügbarkeit.