Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Acronis Snap Deploy, Cyber Protect Cloud Agent a Home Office (Windows) opravují 7 zranitelností
Autentizovanému lokálnímu útočníkovi je v Cyber Protect Cloud Agent umožněno zvýšit svá oprávnění pomocí techniky DLL hijacking [1][2][3][4].
Zranitelnost se nachází v produktu:
- Acronis Cyber Protect Cloud Agent (Windows); <C25.01
CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-24828 na cve.org, NVD
- CVE-2025-24827 na cve.org, NVD
- CVE-2025-24829 na cve.org, NVD
- CVE-2025-24830 na cve.org, NVD
- CWE-426: Untrusted Search Path na cwe.mitre.org
Zranitelnost byla veřejně oznámena 30. 1. 2025.
Autentizovanému lokálnímu útočníkovi je v Cyber Protect Cloud Agent a Home Office umožněno zvýšit svá oprávnění pomocí techniky DLL hijacking [5]
Zranitelnost se nachází v produktech:
- Acronis Cyber Protect Cloud Agent (Windows); <C25.01
- Acronis Cyber Protect Home Office (Windows); <build 40901
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2023-48677 na cve.org, NVD
- CWE-427: Uncontrolled Search Path Element na cwe.mitre.org
Zranitelnost byla veřejně oznámena 30. 1. 2025.
Autentizovanému lokálnímu útočníkovi je v Cyber Protect Cloud Agent umožněno zvyšovat svá oprávnění zadáním speciálně vytvořeného vyhledávání [6].
Zranitelnost se nachází v produktu:
- Acronis Cyber Protect Cloud Agent (Windows); <C25.01
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N
Více informací:
- CVE-2025-24831 na cve.org, NVD
- CWE-428: Unquoted Search Path or Element na cwe.mitre.org
Zranitelnost byla veřejně oznámena 30. 1. 2025.
Autentizovanému lokálnímu útočníkovi je v Snap Deploy umožněno zvýšit svá oprávnění kvůli nesprávnému nastavení přístupu v adresáři [7].
Zranitelnost se nachází v produktu:
- Acronis Snap Deploy (Windows); <build 4625;
CVSS: CVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-24826 na cve.org, NVD
- CWE-276: Incorrect Default Permissions na cwe.mitre.org
Zranitelnost byla veřejně oznámena 28. 1. 2025.
Odkazy
- [1] https://security-advisory.acronis.com/advisories/SEC-7842
- [2] https://security-advisory.acronis.com/advisories/SEC-7841
- [3] https://security-advisory.acronis.com/advisories/SEC-7839
- [4] https://security-advisory.acronis.com/advisories/SEC-7829
- [5] https://security-advisory.acronis.com/advisories/SEC-5620
- [6] https://security-advisory.acronis.com/advisories/SEC-6153
- [7] https://security-advisory.acronis.com/advisories/SEC-6436
Za CESNET, z.s.p.o. Martin Krajči dne 5. 2. 2025.