CVE-2026-93853— Barman 备份目录元数据信任未验证漏洞
一分钟漏洞结论
影响对象
EnterpriseDB Barman
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Barman 快照备份删除中存在未经验证的所有权问题，允许能够写入备份目录的主体导致 Barman 删除不相关的云快照。当快照备份被删除时（无论是显式删除还是通过保留策略强制执行），Barman 会从 文件中读取快照标识符，并使用 Barman 自身凭据将这些标识符传递给云提供商的删除 API，但在此过程中并未验证这些快照是否属于该备份。攻击者若能够覆盖 文件，但缺乏快照删除权限，则可以替换其他快照的标识符，从而导致 Barman 使用其云身份可以访问的任何 AWS、Microsoft Azure 或 Google
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-93853 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Barman snapshot backup deletion trusts unverified backup catalog metadata
来源: CVE Program / CVE List V5
Vulnerability Description
Unverified ownership in Barman snapshot backup deletion allows a principal who can write the backup catalog to cause Barman to delete unrelated cloud snapshots. When a snapshot backup is deleted, either explicitly or by retention policy enforcement, Barman reads the snapshot identifiers from the backup.info file and passes them to the cloud provider's delete API using Barman's own credentials, without verifying that the snapshots belong to that backup. An attacker who can overwrite backup.info but lacks snapshot delete permissions can substitute the identifiers of other snapshots, causing Barman to delete any snapshot its cloud identity can reach on AWS, Microsoft Azure, or Google Cloud. Exploitation requires a deployment where the principal that writes the backup catalog is separate from the identity Barman uses to delete snapshots. Barman versions from 3.4.0 (Google Cloud), 3.6.0 (Azure), and 3.7.0 (AWS) up to and including 3.20.0 are affected. The issue is fixed in Barman 3.20.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H
来源: CVE Program / CVE List V5
Vulnerability Type
未经验证的属主
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| EnterpriseDB | Barman | 3.4.0 ~ 3.20.1 | - |
|
二、漏洞 CVE-2026-93853 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-93853 的情报信息
请登录查看更多情报信息。
CVE-2026-93853 其他参考 (1)
IV. Related Vulnerabilities
Same weakness: CWE-283
V. Comments for CVE-2026-93853
暂无评论