研究人員揭露Nakivo備份軟體任意讀取檔案漏洞

資安研究機構watchTowr研究人員，於2月底公開去年9月發現的Nakivo Backup & Recovery備份軟體管理介面高風險漏洞。Nakivo原廠已於去年11月發布的11.0版更新中修補此漏洞，但迄今尚未對此發布正式的安全公告。

這個漏洞CVE-2024-48248，是嚴重性評分8.6的高風險漏洞，存在於Nakivo的網頁管理介面的HTTP請求處理元件Director中，會導致攻擊者繞過身分驗證，任意讀取目標主機的檔案，解決方法是將Nakivo備份軟體更新到11.0.0.88174以後版本。

watchTowr研究人員在去年9月便發現並向Nakivo通報這個漏洞，Nakivo在10月承認漏洞存在，並在11月4日發布的11.0版更新中修補此漏洞，但未對此漏洞發布獨立的安全公告，watchTowr研究人員則於今年2月26日公開揭露這個漏洞。

若用戶的備份主機直接連接網際網路，便會將這個漏洞直接暴露於網際網路上。安全機構The Shadowserver基金會的掃描顯示，在watchTowr研究人員於2月26日公開這個漏洞當時，全球有多達208臺存在此漏洞的Nakivo備份主機暴露於網路上，其中臺灣有4臺。我們進一步追蹤Shadowserver的掃描統計，截至3月10日為止，全球仍有190臺存在此漏洞的主機暴露於網路，其中臺灣的部分不減反增，從上個月底的4臺增加到5臺。

全球暴露於網際網路的CVE-2024-48248漏洞Nakivo備份主機數量統計

Shadowserver基金會的掃瞄追蹤儀表板顯示，截至今年3月10日，全球暴露於網際網路上的CVE-2024-48248漏洞Nakivo備份主機，仍有190臺，其中臺灣有5臺。

圖片來源：The Shadowserver Foundation