Trusted Design

CVE-2021-27876 の詳細

CVEの情報

説明:
An issue was discovered in Veritas Backup Exec before 21.2. The communication between a client and an Agent requires successful authentication, which is typically completed over a secure TLS communication. However, due to a vulnerability in the SHA Authentication scheme, an attacker is able to gain unauthorized access and complete the authentication process. Subsequently, the client can execute data management protocol commands on the authenticated connection. By using crafted input parameters in one of these commands, an attacker can access an arbitrary file on the system using System privileges.

CVE更新日: 2021-03-01 22:15:14.350000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2023-04-07

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.135180000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2021-27876に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2021-27876は、Veritas Backup Exec Agentにおける認証バイパスおよび任意のファイルアクセスに関する脆弱性です。この脆弱性は、Backup Execクライアントとエージェント間で利用されるSHA認証スキームの欠陥に起因します。攻撃者は有効な認証情報なしに認証ハンドシェイクを完了させることが可能です。認証後、攻撃者は特権を持つチャネルを通じてデータ管理プロトコルコマンドを発行でき、巧妙に細工されたコマンドパラメータを使用することで、ターゲットシステムからSYSTEM権限で任意のファイルを読み取ることができます。

1.1 影響

  • 認証バイパスが可能となります。
  • 任意のファイルの読み取りが可能となります。
  • 攻撃者は、不正にシステムレベルのアクセス（SYSTEM権限）を取得する可能性があります。
  • この脆弱性は、CVE-2021-27877（不正なアクセスおよび特権コマンド実行）やCVE-2021-27878（任意のコマンド実行）と組み合わされることで、認証されていないリモートコード実行（RCE）につながる可能性があります。
  • ALPHV/BlackCatなどのランサムウェアグループによる初期アクセスに悪用された事例が確認されています。

1.2 深刻度

  • CVSS v3.1 スコア: 8.1 (High)
  • CVSS v3 ベクトル: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
    • AV:N (Network): 攻撃はネットワーク経由で実行されます。
    • AC:L (Low): 攻撃の複雑さは低いです。
    • PR:L (Low): 攻撃を実行するために必要な権限は低いです（認証情報を必要としない認証バイパスであるため、実質的に特権は不要です）。
    • UI:N (None): ユーザーの操作は不要です。
    • S:U (Unchanged): スコープは変更されません。
    • C:H (High): 機密性への影響は高いです（任意のファイル読み取り）。
    • I:H (High): 完全性への影響は高いです（任意のファイルアクセス）。
    • A:N (None): 可用性への影響はありません。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はOSバージョンに特有のものではなく、Veritas Backup Exec Agentのソフトウェアバージョンに依存します。影響を受けるすべてのプラットフォーム上のエージェントが対象となります。

2.2 影響を受ける設定

  • Veritas Backup Exec Agentのバージョン16.x、20.x、および21.1が影響を受けます。
  • 特にバージョン21.2より前のVeritas Backup Exec Agentに影響があります。
  • Backup Exec 21.xの場合、エージェントリビジョン9.3以前が影響を受けます。
  • この脆弱性は、現在では使用されていないものの無効化されていなかったレガシーなSHA認証スキームに存在します。

3. 影響を受けた時の兆候

  • Backup Exec Agentのログに、不正な認証試行やファイルアクセスを示す異常なエントリがないか確認することが推奨されます。
  • Veritas Backup Exec Agentがデフォルトで使用するTCPポート10000における、異常なネットワークアクティビティや通信の兆候に注意が必要です。

4. 推奨対策

4.1 本対策

  • Veritas Backup Execをバージョン21.2以降にアップグレードしてください。
  • パッチはBackup Execサーバーとすべてのリモートエージェントの両方に適用する必要があります。古いバージョンが残存している場合、混在環境では依然として脆弱性が露呈する可能性があります。
  • パッチ適用後、ベンダーのガイダンスに従ってSHA認証スキームが無効化または置き換えられていることを確認してください。

4.2 暫定回避策（緩和策）

  • TCPポート10000へのネットワークアクセスを制限し、許可されたBackup Execメディアサーバーのみがエージェントに到達できるように設定してください。
  • ホストベースのファイアウォールルールを適用し、TCPポート10000へのインバウンド接続を既知のメディアサーバーのIPアドレスに限定してください。
  • Backup Exec Agentホストを、許可されたメディアサーバーのみがアクセスできる隔離された管理VLANに配置してください。
  • バックアップ操作が不要になったホストでは、Backup Exec Agentサービスを無効にしてください。
  • フラットネットワークでの露出を制限するために、メディアサーバーとエージェント間でIPsecまたはVPNトンネリングを必須にしてください。
  • （CVE-2021-27877に関連する緩和策ですが、全体的なセキュリティ強化に寄与します）レジストリキーSoftware\Veritas\Backup Exec For Windows\Backup Exec\Engine\Agents\XBSA\Machine\DBAIDが存在し、値がゼロ以外に設定されていることを確認してください。もしキーが存在しない場合、REG_SZタイプでキーを作成し、ランダムなゼロ以外の値を設定してください。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る