CVE-2024-22899

Vinchin Backup & Recovery versão 7.2

O problema está relacionado à função syncNtpTime() no script SystemHandler.class.php do Vinchin Backup & Recovery, que não neutraliza elementos especiais usados no comando do sistema operacional ao processar o parâmetro ntphost. Isso pode ser explorado por um invasor remoto para executar comandos arbitrários enviando solicitações POST especialmente criadas. A vulnerabilidade permite a execução remota de código (RCE) autenticada por meio da função syncNtpTime.

Para o Vinchin Backup & Recovery versão 7.2, como solução temporária, considere desativar a função syncNtpTime() até que um patch esteja disponível. Restrinja o acesso ao script SystemHandler.class.php para minimizar o risco de exploração. Evite usar o parâmetro ntphost no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.