Veeam piyasaya sürüldü güvenlik güncellemeleri ONE IT izleme ve analiz platformundaki dört kusuru ele alacak ve bunlardan ikisinin ciddiyeti kritik olarak derecelendirilecek.
Güvenlik açıklarının listesi aşağıdaki gibidir:
- CVE-2023-38547 (CVSS puanı: 9,9) – Kimliği doğrulanmamış bir kullanıcı tarafından Veeam ONE’ın yapılandırma veritabanına erişmek için kullandığı SQL sunucusu bağlantısı hakkında bilgi edinmek amacıyla kullanılabilen ve SQL sunucusunda uzaktan kod yürütülmesine neden olan, belirtilmemiş bir kusur.
- CVE-2023-38548 (CVSS puanı: 9,8) – Veeam ONE’da, Veeam ONE Web İstemcisine erişimi olan ayrıcalıklı olmayan bir kullanıcının Veeam ONE Raporlama Hizmeti tarafından kullanılan hesabın NTLM karmasını almasına olanak tanıyan bir kusur.
- CVE-2023-38549 (CVSS puanı: 4,5) – Veeam ONE Uzman Kullanıcı rolüne sahip bir kullanıcının, Veeam ONE Yönetici rolüne sahip bir kullanıcının erişim jetonunu elde etmesine olanak tanıyan bir siteler arası komut dosyası çalıştırma (XSS) güvenlik açığı.
- CVE-2023-41723 (CVSS puanı: 4,3) – Veeam ONE’da, Veeam ONE Salt Okunur Kullanıcı rolüne sahip bir kullanıcının Kontrol Paneli Planlamasını görüntülemesine izin veren bir güvenlik açığı.
CVE-2023-38547, CVE-2023-38548 ve CVE-2023-41723, Veeam ONE 11, 11a, 12 sürümlerini etkilerken, CVE-2023-38548 yalnızca Veeam ONE 12’yi etkiler. Sorunlara yönelik düzeltmeler aşağıdaki sürümlerde mevcuttur –
- Veeam ONE 11 (11.0.0.1379)
- Veeam ONE 11a (11.0.1.1880)
- Veeam ONE 12 P20230314 (12.0.1.2591)
Geçtiğimiz birkaç ay boyunca Veeam yedekleme yazılımındaki kritik kusurlar, aralarında FIN7 ve BlackCat fidye yazılımının da bulunduğu çok sayıda tehdit aktörü tarafından kötü amaçlı yazılım dağıtmak için kullanıldı.
Etkilenen sürümleri çalıştıran kullanıcıların Veeam ONE Monitoring ve Reporting hizmetlerini durdurmaları, mevcut dosyaları düzeltmede sağlanan dosyalarla değiştirmeleri ve iki hizmeti yeniden başlatmaları önerilir.