Veeam a expédié des mises à jour de sécurité pour corriger un total de 18 failles de sécurité affectant ses produits logiciels, dont cinq vulnérabilités critiques pouvant entraîner l’exécution de code à distance.
La liste des lacunes est ci-dessous –
- CVE-2024-40711 (score CVSS : 9,8) – Une vulnérabilité dans Veeam Backup & Replication qui permet l’exécution de code à distance non authentifié.
- CVE-2024-42024 (score CVSS : 9,1) – Une vulnérabilité dans Veeam ONE qui permet à un attaquant en possession des informations d’identification du compte de service de l’agent d’exécuter du code à distance sur la machine sous-jacente
- CVE-2024-42019 (score CVSS : 9,0) – Une vulnérabilité dans Veeam ONE qui permet à un attaquant d’accéder au hachage NTLM du compte de service Veeam Reporter Service
- CVE-2024-38650 (score CVSS : 9,9) – Une vulnérabilité dans Veeam Service Provider Console (VPSC) qui permet à un attaquant peu privilégié d’accéder au hachage NTLM du compte de service sur le serveur
- CVE-2024-39714 (score CVSS : 9,9) – Une vulnérabilité dans VPSC qui permet à un utilisateur peu privilégié de télécharger des fichiers arbitraires sur le serveur, entraînant l’exécution de code à distance sur le serveur
En outre, les mises à jour de septembre 2024 corrigent 13 autres failles de haute gravité qui pourraient permettre une escalade des privilèges, un contournement de l’authentification multifacteur (MFA) et l’exécution de code avec des autorisations élevées.
Tous les problèmes ont été résolus dans les versions ci-dessous –
- Veeam Backup & Replication 12.2 (version 12.2.0.334)
- Agent Veeam pour Linux 6.2 (version 6.2.0.101)
- Veeam ONE v12.2 (version 12.2.0.4093)
- Console du fournisseur de services Veeam v8.1 (version 8.1.0.21377)
- Plug-in Veeam Backup pour Nutanix AHV v12.6.0.632
- Veeam Backup pour Oracle Linux Virtualization Manager et Red Hat Virtualization Plug-In v12.5.0.299
Les failles du logiciel Veeam devenant une cible lucrative pour les acteurs malveillants qui diffusent des ransomwares, il est conseillé aux utilisateurs de mettre à jour vers la dernière version dès que possible pour atténuer les menaces potentielles.