CVE-2026-104805
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
DigitalCanion odkrył lukę w funkcjonalności przywracania kopii zapasowych, która umożliwia osobie atakującej mającej dostęp do skonfigurowanego repozytorium kopii zapasowych wprowadzenie dowolnych plików do systemu podczas przywracania.
W mechanizmie przywracania kopii zapasowych występuje specyficzna usterka, która nie sprawdza prawidłowo ścieżek, typów plików, integralności i autentyczności plików zawartych w przywróconym archiwum TGZ. Aplikacja nie przeprowadza weryfikacji podpisu plików przed rozpakowaniem archiwum, dzięki czemu specjalnie spreparowana kopia zapasowa może zawierać pliki kontrolowane przez osobę atakującą.
Osoba atakująca mająca dostęp do kopii zapasowej SFTP lub innego skonfigurowanego repozytorium może zatem udostępnić złośliwe archiwum TGZ, które po przywróceniu przez system może umieścić dowolne pliki w podstawowym systemie Linux. W zależności od lokalizacji i uprawnień wyodrębnionych plików zachowanie to można potencjalnie wykorzystać do wykonania dowolnego kodu z uprawnieniami roota i naruszenia bezpieczeństwa podstawowej maszyny wirtualnej.
Brak wymuszonych haseł zapasowych dodatkowo ogranicza ochronę zapewnianą przez mechanizm tworzenia kopii zapasowych i może ułatwić nieautoryzowany dostęp do repozytorium.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org