Veeam adressiert kritische Remote Code Execution Schwachstellen in Veeam Backup&Replication

Letzte Woche hat Veeam Updates für das Produkt Backup&Replication veröffentlicht, welche drei kritische Sicherheitslücken beheben. Zwei Lücken davon betreffen den Veeam Distribution Service der in jeder Veeam Backup&Replication Installation vorhanden ist. Die Lücken haben jeweils einen CVSS v3 Score von 9.8/10. Eine dritte Lücke betrifft die optionale Komponente für die SCVMM Integration, welche immerhin auch noch einen CVSS v3 Score von 8.8/10 hat.

Die Lücken können nicht aus dem Internet ausgenutzt werden, aber bieten einem im Netzwerk befindlichen Angreifer zusätzliche Angriffsfläche. Wir empfehlen darum, die Patche zeitnah zu installieren.

CVE-2022-26500 & CVE-2022-26501 Remote Code Execution Vulnerability im Veeam Distribution Service

https://www.veeam.com/kb4288
Beide Lücken erlauben es Angreifern, schadhaften Code remote und ohne Authentifizierung auf dem System auszuführen. Dadurch kann der Angreifer Kontrolle über das System erlangen.

Standardmässig öffnet der Veeam Distribution Service den TCP Port 9380 mit Standard Einstellungen, die einem unauthentifizierten Angreifer Zugriff zu den internen API Funktionalitäten ermöglicht. Über diese API kann ein Angreifer schadhaften Code auf das betroffene System hochladen und ausführen.

Die Sicherheitslücke hat einen kritischen CVSS v3 Score von 9.8.

CVE-2022-26504 Remote Code Execution Vulnerability i der Microsoft System Center Virtual Machine Manager Integration

https://www.veeam.com/kb4290
Die SCVMM Integration ist eine optionale Komponente in Veeam und in der Standard Veeam Installation nicht vorhanden. Der Service Veeam.Backup.PSMAnager.exe der über den Port 8732 mit Standard Einstellungen kommuniziert, erlaubt eine Authentifizierung mit nicht Administrativen Anmeldedaten. Die Lücke kann also nur mit bereits vorhandenen Anmeldedaten ausgenutzt werden. Ein Angreifer kann dann über die Schwachstelle schadhaften Code auf dem System ausführen.

Die Sicherheitslücke hat einen hohen CVSS v3 Score von 8.8.

Updates

Veeam Backup & Replication v11
Veeam Backup & Replication v10

Auch die Version Veeam Backup & Replication v9.5 ist betroffen. Da die Version aber seit Januar 2022 End of Support ist, sollen betroffene Kunden auf Version Veeam Backup & Replication v11a aktualisieren.