Veeam解决了Veeam Backup & Replication、服务提供商控制台中的18个高严重性和严重性缺陷。

为了解决影响其产品的多个漏洞，Veeam安全更新公司修复了Veeam Backup & Replication、服务提供商控制台中的18个高严重性和严重性漏洞。

2024年9月安全公告中包含的最严重的缺陷是一个关键的远程代码执行（RCE）漏洞，被跟踪为CVE-2024-40711（CVSS v3.1评分：9.8），影响Veeam备份与复制（VBR）。

Veeam Backup & Replication是由Veeam开发的全面数据保护和灾难恢复软件。它使组织能够跨物理、虚拟和云环境备份、还原和复制数据。

“允许未经身份验证的远程代码执行 （RCE） 的漏洞。”公告中写道。

CODE WHITE Gmbh 的网络安全研究员 Florian Hauser 报告了此漏洞。

该漏洞影响了Veeam Backup & Replication 12.1.2.172和所有早期版本的12版本。

该公司还解决了一个漏洞，跟踪为CVE-2024-40713（CVSS v3.1评分：8.8），该漏洞允许在Veeam Backup & Replication中被分配低权限角色的用户更改多因素身份验证（MFA）设置并绕过MFA。

该公司还修复了一系列相关的高严重性漏洞，这些漏洞被跟踪为 CVE-2024-40710，其中最引人注目的漏洞可能导致作为服务帐户的远程代码执行 （RCE） 并提取敏感信息（保存的凭据和密码）。利用这些漏洞需要已在Veeam Backup & Replication中被分配低权限角色的用户。

公告中包含的其他影响备份和复制版本12.1.2.172及更早版本的问题是：

• CVE-2024-40712：一个路径遍历漏洞允许拥有低权限帐户和本地访问权限的攻击者执行本地权限提升 （LPE）。（CVSS 评分：7.8）
• CVE-2024-40714：TLS 证书验证中存在一个漏洞，允许同一网络上的攻击者在还原操作期间拦截敏感凭据。（CVSS 评分：8.3）
• CVE-2024-39718：一个漏洞，允许低权限用户以与服务帐户相同的权限远程删除系统上的文件。（CVSS 评分：8.1）

公告涵盖的其余问题会影响 Service Provider Console 和 One Software。

该公司没有透露公告中的任何问题是否在野外攻击中被利用。