CVE-2020-8289

总结

Backblaze for Windows 7.0.1.433 之前版本及 Backblaze for macOS 7.0.1.434 之前版本存在证书验证不当问题：`bztransmit` 辅助程序因对 URL 字符串使用硬编码白名单而禁用了验证，可能导致通过客户端更新功能执行远程代码。

• CVE-2020-8289PoC

  CVE-2020-8289 的概念验证利用，演示通过 Backblaze 备份客户端的 SSL 验证绕过和未经验证的更新机制，以 SYSTEM/root 权限远程执行代码。