AOMEI Cyber Backup – Fehlende Authentifizierung im DaoService ermöglicht Remote Code Execution

Beschreibung

In AOMEI Cyber Backup besteht eine Schwachstelle durch fehlende Authentifizierung für eine kritische Funktion, die entfernten Angreifern die Ausführung beliebigen Codes erlaubt. Ursache ist der Dienst DaoService, der standardmässig auf TCP-Port 9074 lauscht und Zugriff auf Funktionen ohne vorherige Authentifizierung gewährt. Eine Ausnutzung ist ohne Authentifizierung möglich; der Code wird im Kontext von SYSTEM ausgeführt. CVSS-Basiswert: 9.8 (Kritisch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in NAKIVO Backup & Replication

• Linux Kernel – Heap Out-of-Bounds Write KEV CVE-2021-22555
• NAKIVO Backup and Replication – Absolute Path Traversal Vulnerability KEV CVE-2024-48248
• jQuery – Cross-Site Scripting (XSS) KEV CVE-2020-11023
• Veeam Backup and Replication – Deserialization-Schwachstelle KEV CVE-2024-40711
• Veeam Backup & Replication Cloud Connect – Fehlende Authentifizierung KEV CVE-2023-27532
• Veritas Backup Exec Agent – Unbefugter Dateizugriff KEV CVE-2021-27876