La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha recentemente aggiunto una vulnerabilità di alta gravità del software NAKIVO Backup & Replication al suo catalogo di Vulnerabilità Sfruttate Conosciute (KEV), citando prove di sfruttamento attivo. La vulnerabilità, identificata come CVE-2024-48248 con un punteggio CVSS di 8.6, è un bug di traversal del percorso assoluto che potrebbe consentire a un attaccante non autenticato di leggere file sul sistema bersaglio, inclusi quelli sensibili come "/etc/shadow", tramite l'endpoint "/c/router". Questa vulnerabilità interessa tutte le versioni del software precedenti alla versione 10.11.3.86570.

Il CISA ha sottolineato che il software NAKIVO Backup and Replication contiene una vulnerabilità di traversal del percorso assoluto che permette a un attaccante di leggere file arbitrari. Lo sfruttamento riuscito di questo difetto potrebbe consentire a un avversario di accedere a dati sensibili, inclusi file di configurazione, backup e credenziali, che potrebbero poi essere utilizzati per ulteriori compromissioni. Al momento, non ci sono dettagli su come la vulnerabilità sia stata sfruttata attivamente, ma il laboratorio watchTowr Labs ha pubblicato un proof-of-concept (PoC) verso la fine dello scorso mese. Il problema è stato risolto a partire da novembre 2024 con la versione v11.0.0.88174.

Inoltre, la vulnerabilità di lettura arbitraria dei file potrebbe essere sfruttata per ottenere tutte le credenziali memorizzate utilizzate dalla soluzione NAKIVO e ospitate sul database "product01.h2.db". Altre due vulnerabilità sono state aggiunte al catalogo KEV: CVE-2025-1316, una vulnerabilità di iniezione di comandi OS nell'IP camera Edimax IC-7100 che permette l'esecuzione di codice remoto, e CVE-2017-12637, una vulnerabilità di traversal di directory nel server SAP NetWeaver Application Server (AS) Java.

Recentemente, Akamai ha rivelato che CVE-2025-1316 viene sfruttata da attori malintenzionati per attaccare telecamere con credenziali predefinite al fine di distribuire almeno due varianti del botnet Mirai. Alla luce dello sfruttamento attivo, le agenzie della Federal Civilian Executive Branch (FCEB) sono tenute ad applicare le mitigazioni necessarie entro il 9 aprile 2025 per proteggere le loro reti.