NetBackup Flex OS CVE-2026-28197: low-privileged management shell → root na appliance i wszystkich kontenerach

CVE-2026-28197 w NetBackup Flex OS: low-privileged authenticated user może przez crafted input do privileged command uzyskać root na hoście Flex i kontrolę nad hosted containers. To lokalna eskalacja wymagająca konta — ale appliance backupowy jest koncentratorem zaufania, więc blast radius jest nieproporcjonalnie duży w stosunku do „lokalnej” natury błędu.

CVE-2026-28197 (NetBackup Flex OS): low-privileged management-shell user → crafted input do privileged command → root na hoście Flex → kontrola nad hosted containers.

EPSS vs impact: niski bieżący EPSS prognozuje prawdopodobieństwo eksploatacji, nie blast radius — nie zmniejsza skutków po spełnieniu precondition.

Attack path

low-privileged authenticated management-shell user -> crafted input to privileged command -> root on Flex host -> control of hosted containers

Backup appliance jako koncentrator zaufania

To wymaga konta, ale appliance backupowy ma dostęp do danych, repozytoriów, credentiali i wielu workloadów. Root na takim hoście plus kontrola nad kontenerami to wysoki blast radius — dlatego niski EPSS nie powinien go zdominować w priorytecie. Dla backup infrastructure wartość assetu może przebić low probability signal (jak w vmclock: niski EPSS w kontekście).

Verification

Potwierdź wersję Flex OS, listę kont z management shell, aktualizację hosta i wszystkich appliance nodes; przejrzyj audit logs privileged commands. Po patchu wykonaj negatywny test na crafted input w izolowanym środowisku.

Powiązane na blogu

vmclock: niski EPSS w kontekście — EPSS ≠ blast radius
JFrog: Medium vs KEV — probability vs realny kontekst

Źródło

Cohesity Security Advisory COH-2026-0001 — github.com

Nota redakcyjna: stan informacji 29 września 2026. CVE-2026-28197 (NetBackup Flex OS, management shell → root i kontrola kontenerów). Wymaga konta z management shell; artykuł podkreśla blast radius backup infrastructure ponad niski EPSS.