Veeam a publi\u00e9 des mises \u00e0 jour de s\u00e9curit\u00e9 pour aborder un d\u00e9faut de s\u00e9curit\u00e9 critique impactant son logiciel de sauvegarde et de r\u00e9plication qui pourrait conduire \u00e0 l’ex\u00e9cution du code distant.<\/p>\n
La vuln\u00e9rabilit\u00e9, suivie comme CVE-2025-23120<\/strong>porte un score CVSS de 9,9 sur 10,0. Il affecte 12.3.0.310 et toutes les versions ant\u00e9rieures de la version 12.<\/p>\n “Une vuln\u00e9rabilit\u00e9 permettant l’ex\u00e9cution du code distant (RCE) par des utilisateurs de domaine authentifi\u00e9s”, la soci\u00e9t\u00e9 dit<\/a> Dans un avis publi\u00e9 mercredi.<\/p>\n Le chercheur en s\u00e9curit\u00e9 Piotr Bazydlo de Watchtowr a \u00e9t\u00e9 reconnu pour d\u00e9couvrir et signaler le d\u00e9faut, qui a \u00e9t\u00e9 r\u00e9solu dans la version 12.3.1 (build 12.3.1.1139).<\/p>\n Selon Bazydlo et la chercheuse Sina Kheirkhah, le CVE-2025-23120 provient de la gestion incoh\u00e9rente de Veeam du m\u00e9canisme de d\u00e9s\u00e9rialisation, provoquant une classe en liste autoris\u00e9e qui peut \u00eatre d\u00e9s\u00e9rialis\u00e9e pour ouvrir la voie \u00e0 une d\u00e9s\u00e9rialisation int\u00e9rieure qui impl\u00e9mente une approche bas\u00e9e sur les listes pour pr\u00e9venir la d\u00e9s\u00e9rialisation des donn\u00e9es consid\u00e9r\u00e9e comme un risque par l’entreprise.<\/p>\n Cela signifie \u00e9galement qu’un acteur de menace pourrait tirer parti d’un gadget de d\u00e9s\u00e9rialisation manquant dans la liste de blocs – \u00e0 savoir, veeam.backup.esxmanager.xmlframeworkds et veeam.backup.core.backupsummary – pour r\u00e9aliser l’ex\u00e9cution du code distant.<\/p>\n “Ces vuln\u00e9rabilit\u00e9s peuvent \u00eatre exploit\u00e9es par tout utilisateur qui appartient au groupe d’utilisateurs locaux de l’h\u00f4te Windows de votre serveur Veeam”, les chercheurs dit<\/a>. “Mieux encore – si vous avez rejoint votre serveur au domaine, ces vuln\u00e9rabilit\u00e9s peuvent \u00eatre exploit\u00e9es par n’importe quel utilisateur de domaine.”<\/p>\n Le patch introduit par Veeam ajoute les deux gadgets \u00e0 la liste de blocs existants, ce qui signifie que la solution pourrait \u00e0 nouveau \u00eatre rendue sensible \u00e0 des risques similaires si d’autres gadgets de d\u00e9s\u00e9rialisation r\u00e9alisables sont d\u00e9couverts.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/03\/Patchs-de-liberation-Veeam-et-IBM-pour-les-defauts-a.png\")
<\/a><\/center><\/div>\n