CVE-2020-16171
Açıklama
Acronis Cyber Backup'ın 12.5 Build 16342 öncesindeki sürümlerinde bir sorun tespit edilmiştir. /api/ams/ altında 9877 portundaki bazı API uç noktaları, ek bir özel Shard başlığı kabul etmektedir. Bu başlığın değeri, daha sonra uygulamanın kendisi tarafından gönderilen ayrı bir web isteğinde kullanılmaktadır. Bu durum, 127.0.0.1:30572 üzerindeki NotificationService gibi yalnızca localhost'a bağlı olan ve normalde erişilemeyen Acronis servislerine karşı SSRF saldırıları gerçekleştirmek için kötüye kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| acronis cyber_backup | v ≤ 12.5, 12.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.