Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-108142 là lỗ hổng Not Failing Securely ('Failing Open') ảnh hưởng tới Backup and Replication (phiên bản bị ảnh hưởng: 13.0 – < 13.0.3 và 13.1 – < 13.1.2). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 9.1. Hiện chưa đủ dữ liệu để xác định lỗ hổng này đã bị khai thác hay chưa.
Một lỗ hổng cho phép kẻ tấn công không cần xác thực vượt qua cơ chế ủy quyền trên CDP Coordinator Service.
13.1.1.18 và mọi build 13.1 trước đó bị ảnh hưởng. Vendor xác nhận lỗ hổng được sửa bắt đầu từ 13.1.2 build 13.1.2.57.13.0.2.29 và mọi build 13.0 trước đó bị ảnh hưởng. Vendor xác nhận lỗ hổng được sửa bắt đầu từ 13.0.3 build 13.0.3.63.12.x, không bị ảnh hưởng. Record không xác lập trạng thái của các nhánh song song khác ngoài phạm vi này.Lỗ hổng là lỗi thực thi kiểm tra ủy quyền trong CDP Coordinator Service, được phân loại là CWE-636, tức hệ thống có thể không xử lý an toàn khi kiểm tra bị lỗi. Phân loại này phù hợp với khả năng cơ chế ủy quyền bị fail open, nhưng record và advisory của vendor không tiết lộ chi tiết triển khai chính xác. Kẻ tấn công không cần xác thực và có thể tiếp cận thành phần này qua mạng; các thuộc tính tấn công được cung cấp cho biết độ phức tạp thấp và không yêu cầu tương tác của người dùng. Vector được cung cấp cũng chỉ ra một điều kiện tấn công bổ sung, nhưng tài liệu hiện có không mô tả điều kiện đó. Kết quả được ghi nhận là bypass ủy quyền với ảnh hưởng cao đến tính toàn vẹn và tính sẵn sàng, trong khi chưa ghi nhận ảnh hưởng đến tính bí mật. Chưa rõ request, giao thức, endpoint và điều kiện ủy quyền cụ thể nào bị khai thác.
Lỗ hổng có thể cho phép một kẻ tấn công không cần xác thực thực hiện các thao tác trái phép thông qua CDP Coordinator Service. Record ghi nhận ảnh hưởng cao đến tính toàn vẹn và tính sẵn sàng, nhưng không ghi nhận ảnh hưởng đến tính bí mật. Hậu quả thực tế có thể bao gồm thay đổi trái phép đối với hoạt động của dịch vụ hoặc gián đoạn vận hành, nhưng các thao tác cụ thể mà kẻ tấn công có thể thực hiện chưa được công khai. Dữ liệu hiện có không cho thấy một tác động vượt phạm vi hệ thống bị ảnh hưởng, vì vậy không nên suy diễn thành việc xâm phạm các hệ thống khác.
Các triển khai bị ảnh hưởng có thể cho phép thực hiện những thao tác trái phép được dịch vụ CDP Coordinator Service hỗ trợ. Điều này có thể dẫn đến thay đổi trái phép đối với trạng thái hoặc hoạt động của dịch vụ và có thể gây gián đoạn các quy trình phụ thuộc vào dịch vụ. Tổ chức nên ưu tiên xác định các hệ thống đang chạy build bị ảnh hưởng, áp dụng bản sửa và xác minh lại hành vi của dịch vụ sau khi cập nhật. Record không xác nhận việc tiết lộ dữ liệu, một vụ xâm nhập cụ thể hoặc một chiến dịch tấn công cụ thể, vì vậy không nên mặc định các hậu quả đó đã xảy ra.
13.1 lên 13.1.2 build 13.1.2.57, hoặc nhánh 13.0 lên 13.0.3 build 13.0.3.63.CDP Coordinator Service đang chạy từ bản cài đặt đã được sửa.affected_summary.CDP Coordinator Service và xem thành phần này có thể tiếp cận từ các mạng không tin cậy hay không. Advisory không nêu endpoint, port hoặc khóa cấu hình cụ thể, vì vậy không nên suy đoán các giá trị này.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
