AOMEI Cyber Backup – Fehlende Authentifizierung im StorageNode-Dienst (RCE als SYSTEM)

Beschreibung

In AOMEI Cyber Backup besteht eine Schwachstelle durch fehlende Authentifizierung für eine kritische Funktion, die eine Codeausführung aus der Ferne ermöglicht. Der Fehler liegt im StorageNode-Dienst, der standardmässig auf TCP-Port 9075 lauscht und Zugriff auf Funktionen ohne vorherige Authentifizierung gewährt; eine Authentifizierung ist zur Ausnutzung nicht erforderlich. Ein Angreifer kann dadurch Code im Kontext von SYSTEM ausführen. CVSS-Basiswert: 9.8 (Kritisch).

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in NAKIVO Backup & Replication

• Linux Kernel – Heap Out-of-Bounds Write KEV CVE-2021-22555
• NAKIVO Backup and Replication – Absolute Path Traversal Vulnerability KEV CVE-2024-48248
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• Veeam Backup and Replication – Deserialization-Schwachstelle KEV CVE-2024-40711
• Veeam Backup & Replication Cloud Connect – Fehlende Authentifizierung KEV CVE-2023-27532
• Veritas Backup Exec Agent – Unbefugter Dateizugriff KEV CVE-2021-27876