Vulnérabilités dans le logiciel de sauvegarde Acronis True Image

Date de publication :

CVE-2020-9450 [Score CVSS v3 : 7.8]
Une vulnérabilité a été corrigée dans Acronis True Image 2020 24.5.22510. Le processus anti_ransomware_service.exe expose une API REST qui peut être par des utilisateurs non privilégiés. Cette API est utilisée pour communiquer entre l'interface graphique et anti_ransomware_service.exe. Cette faille peut être exploitée afin d’ajouter un exécutable malveillant arbitraire à la liste blanche et/ou exclure un lecteur entier de la surveillance par anti_ransomware_service.exe.

CVE-2020-9451 [Score CVSS v3 : 5.5]
Une vulnérabilité a été corrigée dans Acronis True Image 2020 24.5.22510. Le processus anti_ransomware_service.exe conserve un journal dans un dossier où des utilisateurs non privilégiés ont des droits d'écriture. Les journaux sont générés selon un modèle prévisible, ce qui peut permettre à un attaquant non authentifié de créer un lien dur depuis un fichier journal (qui n’est pas encore crée) vers anti_ransomware_service.exe. Au redémarrage, cela force l'anti_ransomware_service à essayer d'écrire son journal dans son propre processus, ce qui provoque un plantage du processus à chaque redémarrage.

CVE-2020-9452 [Score CVSS v3 : 7.8]
Une vulnérabilité a été corrigée dans Acronis True Image 2020 24.5.22510. Le processus anti_ransomware_service.exe comprend une fonctionnalité permettant de mettre en quarantaine des fichiers en copiant un fichier suspecté de ransomware d'un répertoire à un autre en utilisant les privilèges SYSTEM. Étant donné que les utilisateurs non privilégiés ont des droits d'écriture dans le dossier de quarantaine, il est possible de contrôler cette écriture privilégiée avec un hardlink. Cela signifie qu'un attaquant non authentifié peut écrire et supprimer des fichiers arbitraires dans des dossiers arbitraires L’attaquant peut être en mesure d’obtenir les privilèges SYSTEM. Bien que la fonction de quarantaine ne soit pas activée par défaut, elle peut être forcée à copier le fichier dans la quarantaine en communiquant avec anti_ransomware_service.exe via son API REST.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service
  • Exécution de code arbitraire
  • Violation des politiques de sécurité

Criticité

  • Scores CVSS v3 : 7.8 max

Existence d’un code d’exploitation

  • Une partie du code permettant l’exploitation de ces failles est disponible publiquement sur un blog, disponible en référence de ce bulletin.

Composants vulnérables

  • Acronis True Image 2020 sans le correctif Update 4 (Build 38530)
  • Acronis True Image 2021 antérieur au correctif Update 2 (Build 35860

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

Mettre à jour Acronis True Image vers une des versions suivantes :

  • Acronis True Image 2020 Update 4 (Build 38530)
  • Acronis True Image 2021 Update 2 (Build 35860)
  • Acronis True Image 2021 Update 3
  • Acronis True Image 2021 Update 4
  • Acronis True Image 2021 Update 5

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens