Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-28197 là lỗ hổng Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') ảnh hưởng tới NetBackup Flex OS (phiên bản bị ảnh hưởng: < 6.4). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 9.4. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
Một người dùng đã xác thực với quyền thấp có quyền truy cập NetBackup Flex OS management shell có thể cung cấp input được chế tạo đặc biệt cho một lệnh quản trị đặc quyền, khiến lệnh này thực thi mã tùy ý với quyền root. Khai thác thành công cho phép kẻ tấn công kiểm soát không hạn chế host của Flex appliance và tất cả container được lưu trữ, làm mất hoàn toàn tính bí mật, tính toàn vẹn và tính sẵn sàng.
Cohesity NetBackup Flex OS bị ảnh hưởng khi phiên bản nhỏ hơn 6.4, với trạng thái mặc định là bị ảnh hưởng trong bản ghi chuẩn hóa.
0 đến nhỏ hơn 6.4 theo kiểu phiên bản tùy chỉnh.6.4 hoặc cao hơn. Trạng thái của các nhánh phát hành song song không được bản ghi chuẩn hóa mô tả riêng.NetBackup Flex OS có lỗi argument injection trong một lệnh quản trị đặc quyền. Người dùng đã xác thực với quyền thấp nhưng có quyền truy cập management shell có thể cung cấp input được chế tạo đặc biệt; input này khiến lệnh quản trị thực thi mã tùy ý với quyền root. Lỗi thuộc CWE-88, do các dấu phân cách đối số trong lệnh không được trung hòa đúng cách. Khai thác có thể đạt tới host của Flex appliance và tất cả container được lưu trữ trên đó. Advisory không nêu tên lệnh cụ thể, quy tắc phân tích input, chuỗi khai thác hoặc chi tiết triển khai còn thiếu, vì vậy không nên suy đoán các bước khai thác cụ thể.
Lỗi có thể bị khai thác qua mạng bởi một người dùng đã xác thực và có quyền thấp trên NetBackup Flex OS management shell. Không cần người dùng khác tương tác và độ phức tạp khai thác được đánh giá là thấp. Điều kiện tiên quyết quan trọng là tài khoản phải có quyền truy cập management shell; việc chỉ có tài khoản sản phẩm nhưng không có quyền shell không được chứng minh là đủ. Bản ghi được cung cấp không xác nhận khai thác thực tế hoặc chiến dịch đang hoạt động, và không xác định trạng thái known exploitation. Bản ghi cũng không nêu public exploit; điều này không chứng minh rằng không thể có khai thác riêng tư hoặc khai thác chưa được báo cáo.
Kết quả kỹ thuật trực tiếp là thực thi mã tùy ý với quyền root trên Flex appliance host. Phạm vi ảnh hưởng bao gồm host và tất cả container được lưu trữ, nên tác động không chỉ giới hạn ở phiên shell của người dùng. Kẻ tấn công có thể làm mất tính bí mật, tính toàn vẹn và tính sẵn sàng của appliance và các container. Về tổ chức, điều này có thể dẫn đến thay đổi cấu hình, gián đoạn hoạt động hoặc truy cập trái phép vào dữ liệu mà các hệ thống đó xử lý. Bản ghi không xác định các giới hạn cụ thể sau khi đạt quyền root ngoài việc mô tả quyền kiểm soát không hạn chế.
Khai thác thành công có thể cho phép kẻ tấn công kiểm soát hoàn toàn host của Flex appliance và các container được lưu trữ trên đó. Hệ quả có thể bao gồm mất tính bí mật của dữ liệu và cấu hình trên appliance, thay đổi trái phép đối với hệ thống hoặc container, và gián đoạn dịch vụ. Vì lệnh chạy với quyền root, việc giới hạn quyền của tài khoản shell ban đầu không còn bảo vệ được host sau khi khai thác. Rủi ro vận hành đặc biệt nghiêm trọng đối với các appliance đang cung cấp dịch vụ hoặc lưu trữ container quan trọng.
6.4 hoặc cao hơn theo hướng dẫn của Cohesity. Sau khi nâng cấp, xác minh phiên bản thực tế trên từng appliance và kiểm tra toàn bộ các nhánh triển khai đang sử dụng.affected_summary.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
