PT-2022-22977 · Vinchin+1 · Vinchin Backup & Recovery+1

Esjay · Publicado 2022-07-08 · Atualizado 2024-01-26 · CVE-2022-35866

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Vinchin Backup and Recovery versão 6.5.0.17561

Descrição

Esta falha permite que invasores remotos contornem a autenticação nas instalações afetadas. A falha específica está presente na configuração do servidor MySQL, que utiliza uma senha predefinida para o usuário administrador. Um invasor pode explorar essa vulnerabilidade para contornar a autenticação no sistema.

Recomendações

Para o Vinchin Backup and Recovery versão 6.5.0.17561, considere alterar a senha predefinida do usuário administrador na configuração do servidor MySQL como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao servidor MySQL para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

Identificadores relacionados

CVE-2022-35866

ZDI-22-959

Produtos afetados

Mysql Server

Vinchin Backup & Recovery

Referências · 8

• http://packetstormsecurity.com/files/176794/Vinchin-Backup-And-Recovery-7.2-Default-MySQL-Credentials.html · Nota
• https://t.me/cibsecurity/47502 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-22-959 · Nota de Segurança
• https://t.me/cvenotify/68889 · Publicação no Telegram
• http://seclists.org/fulldisclosure/2024/Jan/30 · Nota
• https://t.me/cvenotify/34498 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-35866 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-35866 · Aviso do Fabricante