CVE-2020-10138

高 7.8CVE-2020-10138 · 21/10/2020 公開 · 17/06/2026 更新

要点

CVE-2020-10138 は cyber backup (acronis), cyber protect (acronis) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.53%（全脆弱性の 45.1% より高い）。
対処：12.5, 15 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
cyber backup acronis	`< 12.5`	`12.5`
cyber protect acronis	`< 15`	`15`

概要

Acronis Cyber Backup 12.5 and Cyber Protect 15 include an OpenSSL component that specifies an OPENSSLDIR variable as a subdirectory within C:\jenkins_agent\. Acronis Cyber Backup and Cyber Protect contain a privileged service that uses this OpenSSL component. Because unprivileged Windows users can create subdirectories off of the system root, a user can create the appropriate path to a specially-crafted openssl.cnf file to achieve arbitrary code execution with SYSTEM privileges.