Bir saldırganın kimlik doğrulama korumalarını atlamasına izin verebilecek kritik bir güvenlik açığının keşfedilmesinin ardından, Veeam Backup Enterprise Manager kullanıcılarından en son sürüme güncelleme yapmaları isteniyor.
Şu şekilde izlendi: CVE-2024-29849 (CVSS puanı: 9,8), güvenlik açığı kimliği doğrulanmamış bir saldırganın Veeam Backup Enterprise Manager web arayüzünde herhangi bir kullanıcı olarak oturum açmasına izin verebilir.
Şirket ayrıca aynı ürünü etkileyen diğer üç eksikliği de açıkladı:
- CVE-2024-29850 (CVSS puanı: 8,8), NTLM aktarımı yoluyla hesabın ele geçirilmesine olanak tanır
- CVE-2024-29851 (CVSS puanı: 7,2), ayrıcalıklı bir kullanıcının Veeam Backup Enterprise Manager hizmet hesabının varsayılan Yerel Sistem hesabı olarak çalışacak şekilde yapılandırılmamış olması durumunda NTLM karmalarını çalmasına olanak tanır
- CVE-2024-29852 (CVSS puanı: 2,7), ayrıcalıklı bir kullanıcının yedekleme oturumu günlüklerini okumasına olanak tanır
12.1.2.172 sürümünde tüm kusurlar giderildi. Ancak Veeam, Veeam Backup Enterprise Manager’ın dağıtımının isteğe bağlı olduğunu ve bu uygulamanın kurulmadığı ortamların kusurlardan etkilenmediğini belirtti.
Son haftalarda şirket ayrıca Windows için Veeam Agent’ı etkileyen yerel ayrıcalık yükseltme kusurunu da çözdü (CVE-2024-29853CVSS puanı: 7,2) ve Veeam Service Provider Console’u etkileyen kritik bir uzaktan kod yürütme hatası (CVE-2024-29212CVSS puanı: 9.9).
“Veeam Service Provider Console (VSPC) sunucusunun yönetim aracısı ile bileşenleri arasındaki iletişimde kullandığı güvenli olmayan seri durumdan çıkarma yöntemi nedeniyle, belirli koşullar altında VSPC sunucu makinesinde Uzaktan Kod Yürütme (RCE) gerçekleştirmek mümkündür.” Veeam CVE-2024-29212 hakkında şunları söyledi.
Veeam Backup & Replication yazılımındaki güvenlik kusurları (CVE-2023-27532CVSS puanı: 7,5) FIN7 ve Küba gibi tehdit aktörleri tarafından fidye yazılımı da dahil olmak üzere kötü amaçlı yükler dağıtmak için istismar ediliyor ve bu da kullanıcıların yukarıda belirtilen güvenlik açıklarını hızla düzeltmek için harekete geçmesini zorunlu kılıyor.