Kritische Schwachstellen in Acronis Backup Systemen

In der aktuellen Version des Backup Systems Acronis Cyber Protect 16 wurden mehrere teils schwerwiegende SicherheitslĂŒcken entdeckt, die es Angreifern ermöglichen, unbefugt Daten auszulesen, zu Ă€ndern oder höhere Rechte im System zu erlangen. Betroffen sind Linux- und Windows-Installationen vor der Build‐Nummer 39938. Folgende CVEs stechen besonders hervor:

  • CVE-2025-30411 (CVSS 10.0, kritisch): Unzureichende Authentifizierung in Acronis Cyber Protect 16 (Linux & Windows). Angreifer können ohne gĂŒltige Zugangsdaten sensible Dateien auslesen und manipulieren.
  • CVE-2025-30416 (CVSS 10.0, kritisch): Fehlende Autorisierung in Acronis Cyber Protect 16 (Linux & Windows). Gleiches Risiko: beliebige Datenzugriffe und -manipulation.
  • CVE-2025-30412 (CVSS 10.0, kritisch): Weitere LĂŒcke in der Authentifizierung von Cyber Protect 16 (Linux & Windows) mit identischem Schadenpotenzial.

ZusÀtzlich sind Àltere Builds betroffen:

  • CVE-2025-30410 (CVSS 9.8, kritisch): In Acronis Cyber Protect 16 und im Acronis Cyber Protect Cloud Agent (Linux, macOS, Windows) vor Build 39870 fehlt eine Authentifizierung, sodass sensible Daten unbefugt entwendet oder verĂ€ndert werden können.
  • CVE-2025-48961 (CVSS 7.3, hoch): Unsichere Ordner-Berechtigungen in Cyber Protect 16 fĂŒr Windows (vor Build 39938) erlauben Privilegienausweitung.
  • CVE-2025-48960 (CVSS 5.9, mittel): Schwacher TLS-Server‐Key in Cyber Protect 16 (Linux, macOS, Windows) vor Build 39938, der Man‐in‐the‐Middle‐Angriffe begĂŒnstigt.
  • CVE-2025-48962 (CVSS 4.3, mittel): SSRF‐LĂŒcke (Server‐Side‐Request‐Forgery) in Cyber Protect 16 (Linux & Windows), mit der Angreifer sensible Informationen ausspĂ€hen können (unter macOS nicht vorhanden).

Acronis bietet bereits seit etwa einem Monat Updates an:

  • Acronis Cyber Protect 16 Update 4 (fĂŒr Linux, macOS und Windows)
  • Acronis Cyber Protect Cloud Agent Update C25.03 Hotfix 2

Betroffene Anwender sollten die Aktualisierungen umgehend installieren, um das Risiko unbefugter Datenzugriffe und Systemkompromittierungen zu minimieren.

Tags :

Related Posts

Kritische Schwachstelle in NETGEAR-Router erlaubt Admin-Zugriff ohne Authentifizierung

Sicherheitsforscher haben eine schwerwiegende Schwachstelle (CVE-2025-4978) in NETGEARs DGND3700v2-Routern entdeckt, die es Angreifern ermöglicht, ohne Login-Daten vollstĂ€ndigen Administratorzugriff zu erlangen. Die LĂŒcke wird mit einem CVSSv4-Score von 9.3 als kritisch eingestuft.

Read More

Kritische DoS-Schwachstelle in mod_security2 – CVE-2025-47947

Eine schwerwiegende SicherheitslĂŒcke bedroht derzeit Webserver, die das Apache-Modul mod_security2 einsetzen. Die am 21. Mai 2025 veröffentlichte Schwachstelle mit der Kennung CVE-2025-47947 ermöglicht es Angreifern, durch gezielt prĂ€parierte Anfragen einen Denial-of-Service (DoS) auszulösen – und das mit nur einer einzigen HTTP-Anfrage.

Read More

Python 3.12: Path Escape via tarfile-Filter

ZusĂ€tzlich wurde am 3. Juni 2025 mit CVE-2025-4517 eine kritisch Schwachstelle im tarfile-Modul von Python veröffentlicht. Wie bei CVE-2024-12718 dreht sich auch CVE-2025-4517 um die neuen Extraktionsfilter („filter=“), die ab Python 3.12 eingefĂŒhrt wurden, um beim Entpacken von TAR-Archiven Metadaten und Berechtigungen kontrolliert zuzuweisen. In beiden FĂ€llen erlauben fehlerhafte Filteroptionen jedoch einen Escapismus aus dem vorgesehenen Entpackungsverzeichnis und damit Manipulationen an beliebigen Dateien im Dateisystem.

Read More