Duplicati v2.3.0.1 には、任意のコード実行に関連する重大な脆弱性が存在します。この脆弱性は、Duplicati がデフォルトの C:\Program Files\Duplicati 2\ 以外のディレクトリにインストールされている場合に発生します。非デフォルトのインストールディレクトリにファイルを書き込む権限を持つローカルユーザー権限を持つ攻撃者が、これを悪用する可能性があります。Duplicati の MSI インストーラーは、インストールディレクトリからバイナリを実行する LocalSystem サービスを登録します。デフォルトの場所にインストールされている場合、Windows ACL がディレクトリを保護し、不正な変更を防ぎます。しかし、非デフォルトのインストールではこれらの保護が欠けており、ユーザーが悪意のあるファイルを書き込むことができます。ローカル攻撃者がそのようなディレクトリに悪意のある DLL を配置した場合、再起動時に Duplicati サービスによって読み込まれる可能性があります。これにより、攻撃者は昇格された NT AUTHORITY\SYSTEM 権限で任意のコードを実行できます。これを軽減するために、ユーザーは Duplicati をデフォルトのディレクトリにインストールするか、非デフォルトの場所を適切な ACL で手動で保護する必要があります。ベンダーパッチを適用し、Duplicati の最新の修正済みバージョンに更新することも重要な解決策です。