Luka w NAKIVO Backup & Replication pozwala bez logowania pobrać dowolny plik z serwera kopii, w tym jawnie zapisane hasła do kopiowanych maszyn. Publiczny exploit, ataki potwierdzone. Zaktualizuj do 11.0.0.88174 i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które robią kopie zapasowe serwerów i maszyn wirtualnych programem NAKIVO Backup & Replication. Werdykt: jeśli wersja jest starsza niż 11.0.0.88174, zaktualizuj ją dziś i zmień hasła do wszystkich kopiowanych systemów, bo luka pozwala bez logowania pobrać z serwera kopii pliki z hasłami, gotowy kod ataku jest publiczny, a CISA potwierdza wykorzystywanie.
Amerykańska agencja CISA 19 marca 2025 roku dopisała podatność CVE-2024-48248 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy programu NAKIVO Backup & Replication, który wykonuje kopie zapasowe serwerów i maszyn wirtualnych.
Punkt /c/router i polecenie getImageByPath pobierały plik wskazany ścieżką bez sprawdzenia, czy ścieżka prowadzi tam, gdzie powinna. Napastnik bez logowania mógł podać pełną ścieżkę do dowolnego pliku na serwerze. Według opisu w NVD składnik PhysicalDiscovery przechowywał poświadczenia do kopiowanych maszyn jawnym tekstem, co może prowadzić do wykonania kodu w całym przedsiębiorstwie. Badacze watchTowr opublikowali działający kod ataku.
Termin naprawy wyznaczony przez CISA minął 9 kwietnia 2025 roku, ponad siedemnaście miesięcy temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-48248 |
Data dodania do CISA KEV | 2025-03-19 |
Termin naprawy wg CISA | 2025-04-09 (21 dni od wpisu) |
Produkt | NAKIVO Backup & Replication (kopie zapasowe i replikacja serwerów oraz maszyn wirtualnych) |
Wersje zagrożone | Wszystkie wersje przed 11.0.0.88174 |
Wersje bezpieczne | 11.0.0.88174 i nowsze |
Typ podatności | Bezwzględne przejście ścieżki (odczyt dowolnych plików). MITRE i CISA: CWE-36; NVD: kategoria ogólna „inne” |
Ocena CVSS | 8.6 WYSOKA (CVSS 3.1, identycznie MITRE i NVD). Atak przez sieć, łatwy, bez uprawnień, bez udziału użytkownika; skutek wychodzi poza program (zmiana zakresu), wysoki wpływ na poufność |
Wyobraź sobie firmę, w której jeden pracownik ma na tablicy klucze do wszystkich pomieszczeń, bo co noc robi obchód i kopiuje dokumenty do archiwum. Przy jego biurku jest okienko, przez które każdy może poprosić o „zdjęcie z szafy nr…”. Okazuje się, że pracownik podaje przez okienko cokolwiek, o co ktoś poprosi, pełną nazwą: także zdjęcie tablicy z kluczami i kartkę z kodami do alarmów.
Tak działa ta luka. Serwer kopii zapasowych musi mieć dostęp do wszystkich kopiowanych maszyn, więc przechowuje do nich hasła, a tu leżały one jawnym tekstem. Jedno zapytanie przez sieć, bez logowania, pozwalało pobrać dowolny plik. Szkolenie pracowników nic nie zmienia, bo nikt niczego nie klika: wystarczy, że panel programu jest osiągalny z sieci.
💡 Przejście ścieżki (path traversal) to błąd, w którym program pozwala pobrać plik spoza przeznaczonego katalogu. Bezwzględne oznacza, że napastnik podaje pełną ścieżkę od początku dysku. Poświadczenia to loginy i hasła, którymi program łączy się z innymi systemami. PoC (proof of concept) to publicznie dostępny kod pokazujący, że atak działa. EPSS to wskaźnik prawdopodobieństwa wykorzystania luki w ciągu 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Zapytanie do panelu bez logowania | Odrzucone | Zwraca dowolny wskazany plik |
Hasła do kopiowanych serwerów | Zaszyfrowane i niedostępne z zewnątrz | Zapisane jawnie i możliwe do pobrania |
Kontroler domeny i serwer plików | Chronione własnymi hasłami | Dostępne z hasłami z serwera kopii |
Kopia zapasowa jako ratunek po ataku | Pozwala odtworzyć firmę | Napastnik ma dostęp także do kopii |
Szkolenie pracowników | Chroni przed phishingiem | Bez znaczenia: atak nie wymaga udziału człowieka |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia atak jako automatyzowalny, ze skutkiem całkowitym, a gotowy kod ataku jest publiczny.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie paneli NAKIVO dostępnych z sieci | Lista celów |
2. Odczyt plików | T+1 min | Zapytanie | Pliki z poświadczeniami |
3. Hasła | T+10 min | Odczyt jawnie zapisanych haseł do kopiowanych serwerów i maszyn wirtualnych | Klucze do całej infrastruktury |
4. Przejęcie | T+1 do 24 godz. | Logowanie do kontrolera domeny, serwerów plików, systemów wirtualizacji | Kontrola nad firmą |
5. Niszczenie kopii | T+1 do 7 dni | Usunięcie lub zaszyfrowanie kopii zapasowych | Brak drogi odtworzenia |
6. Skutek | T+1 do 3 tygodni | Szyfrowanie serwerów, kradzież danych, żądanie okupu | Odtwarzanie firmy od zera |
Mogę Ci jakoś pomóc?
Serwer kopii zapasowych zna hasła do wszystkich kopiowanych maszyn i przechowuje kopie, z których firma miałaby się odtworzyć. Luka w tym miejscu uderza jednocześnie w dane, dostęp do infrastruktury i zdolność do podniesienia się po ataku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęcie wielu serwerów naraz, zniszczone kopie, odtwarzanie od zera | Dni | 100 tys. do 800 tys. PLN |
Bezpieczeństwo danych | Wyciek haseł, danych z kopii i systemów produkcyjnych | Minuty od ataku | 50 tys. do 300 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, wymiana infrastruktury, zewnętrzni specjaliści, utracona sprzedaż | Tygodnie | 200 tys. do 2 mln PLN łącznie |
Reputacyjny | Długi przestój, wyciek danych klientów | Miesiące | 100 tys. do 1 mln PLN |
Prawny | Wyciek danych osobowych: zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności); brak zabezpieczenia kopii może być oceniany jako zaniedbanie | 72 godziny od wykrycia | 30 tys. do 200 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla NAKIVO Backup & Replication
starszego niż 11.0.0.88174
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko krytyczne, bo atak nie wymaga logowania, jest automatyzowalny, istnieje publiczny kod ataku, EPSS wynosi około 94%, a odczytane hasła otwierają wszystkie kopiowane systemy i same kopie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję NAKIVO Backup & Replication | Dziś | Administrator kopii zapasowych |
2 | 🔴 NATYCHMIAST | Zaktualizować do 11.0.0.88174 lub nowszej | Dziś | Administrator / partner IT |
3 | 🔴 NATYCHMIAST | Odciąć panel NAKIVO od internetu, dostęp tylko z sieci firmy lub przez VPN | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Zmienić hasła do wszystkich systemów, do których NAKIVO miał poświadczenia | Do 3 dni | Administrator systemów |
5 | 🟠 PILNIE | Przejrzeć logi serwera NAKIVO pod kątem zapytań | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić logowania na kontroler domeny i serwery z kont używanych przez NAKIVO | Do 7 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Zapewnić kopię odseparowaną, niemodyfikowalną, poza zasięgiem serwera kopii | Do 30 dni | CTO |
Producent wydał wersję 11.0.0.88174, która usuwa błąd. Do czasu aktualizacji pomagają poniższe miary. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie panelu NAKIVO od internetu i sieci użytkowników | Wysoka wobec automatów z zewnątrz | Łatwa do średniej |
Zmiana haseł i ograniczenie uprawnień kont używanych przez NAKIVO | Średnia: ogranicza skutki wycieku | Średnia |
Kopia odseparowana (offline lub niemodyfikowalna) | Wysoka dla możliwości odtworzenia | Średnia |
Monitorowanie zapytań do | Niska jako ochrona, przydatna do wykrycia | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Odczyt plików bez logowania | Możliwy | Zablokowany w wersji 11.0.0.88174 |
Hasła do kopiowanych systemów | Potencjalnie wykradzione | Zmienione |
Dostęp do panelu | Z internetu | Tylko z sieci firmy lub przez VPN |
Kopie zapasowe | W zasięgu napastnika | Dodatkowa kopia odseparowana |
Zgodność z terminem CISA | Zaległość od 9 kwietnia 2025 | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); atak automatyzowalny, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA (CVSS 3.1, MITRE i NVD) |
PoC dostępny publicznie? | TAK: kod watchTowr Labs na GitHub |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,94, powyżej 99,8% wszystkich luk (wg analizy źródłowej) |
Kto opisał błąd | watchTowr Labs |
Sygnały zagrożenia dla CVE-2024-48248
CVSS 3.1 (MITRE/NVD) 8.6/10 █████████████████░░░ WYSOKA
EPSS (wg źródła) ~94% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny exploit TAK ████████████████████ watchTowr (GitHub)
Hasła jawnym tekstem TAK ████████████████████ klucze do całej firmy
Mogę Ci jakoś pomóc?
2025-03-04 Publikacja CVE-2024-48248 (NVD)
2025-03-19 CISA dodaje lukę do katalogu KEV
2025-04-09 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Informacje o wersjach producenta: NAKIVO Release Notes . Analiza badaczy: watchTowr Labs, CVE-2024-48248 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-48248 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub dostawca IT używa NAKIVO Backup & Replication | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: wersja i czy panel jest dostępny z internetu | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i odcięcie panelu od internetu | CTO | DZISIAJ |
4 | Zlecić zmianę haseł do wszystkich kopiowanych systemów | CTO | DO JUTRA |
5 | Zarezerwować budżet na kopię odseparowaną i ewentualną analizę powłamaniową | CFO | DO JUTRA |
6 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące kopii zapasowych | CFO | DO JUTRA |
7 | Zlecić test odtworzenia kluczowego serwera z kopii | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja NAKIVO Backup & Replication działa u nas? | [wersja] | 🔴 |
2 | Czy panel NAKIVO jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano wersję 11.0.0.88174 lub nowszą? | [data] | 🔴 |
4 | Czy zmieniono hasła do wszystkich systemów obsługiwanych przez NAKIVO? | TAK / NIE | 🔴 |
5 | Czy logi pokazują zapytania | TAK / NIE | 🟠 |
6 | Czy mamy kopię odseparowaną, której nie da się usunąć z serwera kopii? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio testowaliśmy odtworzenie serwera z kopii? | [data] | 🟡 |
CVE-2024-48248 pozwala bez logowania pobrać dowolny plik z serwera NAKIVO Backup & Replication, w tym jawnie zapisane hasła do wszystkich kopiowanych systemów. Publiczny kod ataku, wysoki EPSS i potwierdzenie CISA czynią tę lukę jedną z najpilniejszych. Aktualizacja do 11.0.0.88174, zmiana haseł i odcięcie panelu od internetu zamykają ryzyko, a kopia odseparowana chroni zdolność do odtworzenia firmy.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.