| 漏洞概述 |
| 漏洞名称 |
NAKIVO Backup & Replication任意文件读取漏洞 |
| 漏洞编号 |
QVD-2025-8756,CVE-2024-48248 |
| 公开时间 |
2025-02-26 |
影响量级 |
千级 |
| 奇安信评级 |
高危 |
CVSS 3.1分数 |
7.5 |
| 威胁类型 |
信息泄露 |
利用可能性 |
高 |
| POC状态 |
已公开 |
在野利用状态 |
未发现 |
| EXP状态 |
已公开 |
技术细节状态 |
已公开 |
| 危害描述：攻击者读取目标服务器上的任意文件（包括敏感配置文件、数据库、备份日志等）。 |
NAKIVO Backup & Replication 是一款专注于虚拟化、云端及混合环境的备份与灾难恢复的解决方案。
近日，奇安信CERT监测到官方修复NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)，攻击者可利用STPreLoadManagement 类中的 getImageByPath方法，绕过路径验证并读取目标服务器上的任意文件（包括敏感配置文件、数据库、备份日志等）。目前该漏洞技术细节与PoC已在互联网上公开，鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
NAKIVO Backup & Replication < v11.0.0.88174
目前，奇安信威胁情报中心安全研究员已成功复现NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)，截图如下：
![【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告]( "【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告")
![【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告]( "【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告")
奇安信鹰图资产测绘平台数据显示，NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)关联的全球风险资产总数为3742个，关联IP总数为1352个。全球风险资产分布情况如下：
![【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告]( "【已复现】NAKIVO Backup & Replication任意文件读取漏洞(CVE-2024-48248)安全风险通告")
目前官方已发布安全更新，建议用户尽快升级至最新版本：
https://www.nakivo.com/resources/download/trial-download/download/
[1]https://labs.watchtowr.com/the-best-security-is-when-we-all-agree-to-keep-everything-secret-except-the-secrets-nakivo-backup-replication-cve-2024-48248/
2025年02月27日，奇安信 CERT发布安全风险通告。
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/3777518.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论