CVE-2021-27878

IMMEDIATE ACTIONS:

1. Identify all Veritas Backup Exec Agent installations across your infrastructure

2. Isolate affected systems from untrusted networks if patching cannot be completed immediately

3. Review firewall rules to restrict access to Backup Exec Agent ports (default 6101/TCP)

4. Enable audit logging for all Backup Exec Agent communications



PATCHING:

1. Apply Veritas security patches immediately (Backup Exec 16.x, 20.x, 21.x versions)

2. Verify patch installation and restart Backup Exec services

3. Test backup and restore operations post-patching



COMPENSATING CONTROLS (if patching delayed):

1. Implement network segmentation - restrict Backup Exec Agent access to authorized backup servers only

2. Deploy WAF/IPS rules to detect and block suspicious data management protocol commands

3. Monitor for exploitation attempts using YARA rules targeting CVE-2021-27878 payloads

4. Disable remote access to Backup Exec Agent if not required



DETECTION:

1. Monitor Backup Exec Agent logs for unusual command execution patterns

2. Alert on unexpected process spawning from Backup Exec Agent service

3. Track network connections to Backup Exec Agent ports from non-authorized sources

4. Search for indicators: suspicious .exe/.cmd execution, PowerShell invocations from Backup Exec processes

الإجراءات الفورية:

1. تحديد جميع تثبيتات عامل Veritas Backup Exec عبر البنية التحتية

2. عزل الأنظمة المتأثرة عن الشبكات غير الموثوقة إذا لم يكن التصحيح ممكناً فوراً

3. مراجعة قواعد جدار الحماية لتقييد الوصول إلى منافذ Backup Exec Agent (الافتراضي 6101/TCP)

4. تفعيل تسجيل التدقيق لجميع اتصالات Backup Exec Agent



التصحيح:

1. تطبيق تصحيحات أمان Veritas فوراً (إصدارات Backup Exec 16.x و 20.x و 21.x)

2. التحقق من تثبيت التصحيح وإعادة تشغيل خدمات Backup Exec

3. اختبار عمليات النسخ الاحتياطي والاستعادة بعد التصحيح



الضوابط البديلة (إذا تأخر التصحيح):

1. تنفيذ تقسيم الشبكة - تقييد وصول Backup Exec Agent إلى خوادم النسخ الاحتياطي المصرح بها فقط

2. نشر قواعد WAF/IPS للكشف عن أوامر بروتوكول إدارة البيانات المريبة وحجبها

3. المراقبة لمحاولات الاستغلال باستخدام قواعد YARA الموجهة لحمولات CVE-2021-27878

4. تعطيل الوصول البعيد إلى Backup Exec Agent إذا لم يكن مطلوباً



الكشف:

1. مراقبة سجلات Backup Exec Agent للبحث عن أنماط تنفيذ أوامر غير عادية

2. التنبيه على تفرخ العمليات غير المتوقعة من خدمة Backup Exec Agent

3. تتبع الاتصالات الشبكية إلى منافذ Backup Exec Agent من مصادر غير مصرح بها

4. البحث عن المؤشرات: تنفيذ .exe/.cmd مريب، استدعاءات PowerShell من عمليات Backup Exec