CVEノート

最近の脆弱性 › CVE-2024-48248

NAKIVO Backup and Replication のパストラバーサルの脆弱性（CVE-2024-48248）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2024-48248
製品NAKIVO Backup and Replication
深刻度（CVSS）8.6 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
KEVへの追加日2025-03-19
米国政府機関の対応期限2025-04-09
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-36

何が起きた

NAKIVO Backup & Replication で、ファイルの場所（パス）を外から指定させてしまい、サーバー上の任意の（攻撃者が好きに選べる）ファイルを読まれる弱点（パストラバーサル）が見つかりました。NVD の説明では、読まれたファイルに平文（暗号化されていない形）の認証情報が含まれるため、組織全体での遠隔からのコード実行につながる可能性があるとしています。NVD の評価では、ログイン不要の攻撃者が離れた場所から悪用でき、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した要求をサーバーへ送る → 2. サーバー上の任意のファイルを読み出す → 3. 読んだファイルから認証情報を手に入れる1攻撃者が細工した要求をサーバーへ送る2サーバー上の任意のファイルを読み出す3読んだファイルから認証情報を手に入れる攻撃の流れ: 1. 攻撃者が細工した要求をサーバーへ送る → 2. サーバー上の任意のファイルを読み出す → 3. 読んだファイルから認証情報を手に入れる1攻撃者が細工した要求をサーバーへ送る2サーバー上の任意のファイルを読み出す3読んだファイルから認証情報を手に入れる

誰が影響を受ける

NAKIVO Backup & Replication の 11.0.0.88174 より前の版を使っている組織が対象です。

何をすればいい

NAKIVO Backup & Replication を 11.0.0.88174 以降に更新されているか確認してください。NAKIVO のリリースノートでは、v11.0 でこの CVE-2024-48248 を修正したとしています。あわせて、NAKIVO の公式の案内を確認してください。

やることチェックリスト

用語メモ

パストラバーサル
ファイルの場所の指定を悪用して、本来は見せないはずのファイルを読み出す攻撃です。
平文
暗号化されていない、そのまま読める形のデータのことです。
KEV
米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。

元データ（英語・CISA KEV より）

NAKIVO Backup and Replication Absolute Path Traversal Vulnerability

概要

NAKIVO Backup and Replication contains an absolute path traversal vulnerability that enables an attacker to read arbitrary files.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報