CVE-2025-30412

Acronis Cyber Protect — ujawnienie i manipulacja danych przez błąd uwierzytelniania

CVSS 10.0v3.0pub. 2026-02-20upd. 2026-03-12

Podatność w Acronis Cyber Protect wynika z nieprawidłowej weryfikacji uwierzytelniania (CWE-1390), co umożliwia nieautoryzowanym atakującym dostęp do poufnych danych oraz ich modyfikację. Podatność otrzymała maksymalną ocenę CVSS 10.0, co klasyfikuje ją jako krytyczną.

▸ Pokaż oryginał (EN)

Sensitive data disclosure and manipulation due to improper authentication. The following products are affected: Acronis Cyber Protect 16 (Linux, Windows) before build 39938, Acronis Cyber Protect 15 (Linux, Windows) before build 41800.

🤖 Analiza AI

Jak działa

Błąd polega na nieprawidłowej implementacji mechanizmu uwierzytelniania w produkcie Acronis Cyber Protect. Atakujący zdalny, bez posiadania jakichkolwiek uprawnień ani interakcji ze strony użytkownika, może ominąć wymagane kontrole tożsamości. W efekcie uzyskuje nieautoryzowany dostęp do chronionych zasobów systemu oraz możliwość ich modyfikacji, a zakres ataku wykracza poza bezpośrednio podatny komponent (Scope: Changed).

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych przetwarzanych przez system backupu i ochrony (pełna poufność, integralność oraz dostępność zagrożone na poziomie krytycznym), a także dokonywać ich manipulacji lub zakłócić działanie chronionych środowisk.

Mitygacja

Należy jak najszybciej zaktualizować Acronis Cyber Protect 16 do buildu 39938 lub nowszego oraz Acronis Cyber Protect 15 do buildu 41800 lub nowszego. Szczegółowe informacje dostępne są w oficjalnym biuletynie producenta: https://security-advisory.acronis.com/advisories/SEC-8598

Kogo dotyczy

Acronis Cyber Protect 16 (Linux, Windows) w buildach poprzedzających 39938 oraz Acronis Cyber Protect 15 (Linux, Windows) w buildach poprzedzających 41800.