Albisteak

Veeamek ahultasunak zuzendu ditu bere backup soluzioetan

Argitalpen-data: 

Laburpen exekutiboa

Veeam-ek hainbat ahultasun kritiko zuzendu ditu bere backup irtenbideetan, kodea urrun exekutatzea eta pribilegioen igotzea barne. CVE-2026-32998 ahultasunak erasotzaile urrun bati Veeam Service Provider Console-n kode arbitrarioa exekutatzea ahalbidetzen dio, larritasun kritikoarekin (CVSS 9.4), erabat konprometitzen du sistema eragindakoa. CVE-2026-32997 ahultasunak Backup Administrator rolarekin autentifikatutako erabiltzaile bati Veeam Backup & Replication zerbitzarian fitxategi arbitrarioak idaztea ahalbidetzen dio, datu sentikorren manipulazioa eragin dezakeena. Gainera, CVE-2026-32996 ahultasunak Veeam Agent for Microsoft Windows-en pribilegioen igotzea ahalbidetzen du, erasotzaile bati pribilegio handiagoekin kode gaiztoa exekutatzea ahalbidetuz. Arrisku hauek arintzeko, bertsio zuzendutakoetara (9.2.1 eta 13.0.2) premiazko eguneratze bat behar da, konponbide tenporalik ez baita ezagutzen.

Eragindako baliabideak

  • Veeam Service Provider Console (bertsioak 9.2.0.33215 eta aurrekoak)
  • Veeam Service Provider Console 9.2.1.33875
  • Veeam Backup & Replication (bertsioak 13.0.1.2067 eta aurrekoak)
  • Veeam Backup & Replication 13.0.2.29
  • Veeam Agent for Microsoft Windows (zehaztutako bertsio guztiak eragindakoak)
  • Veeam Software Appliance (zehaztutako bertsio guztiak eragindakoak)

Azterketa teknikoa

  • CVE-2026-32998: Veeam Service Provider Console-n ahultasunak kodea urrun exekutatzea ahalbidetzen du. Honek sistema eragindakoaren konpromiso osoa eragin dezake, erasotzaile bati kontrol osoa hartzen uzten diolarik. Ahultasun hau esplotatzeko, erasotzaileak kontsolaren interfazera sarbidea izan behar du.
    • CWE-233
    • CVSS: 9.4 (kritikoa)
    • CVSS bektorea: N/A
    • Esplotazioa: Ez da detektatu
  • CVE-2026-32997: Ahultasun bat identifikatu da, Backup Administrator rolarekin autentifikatutako erabiltzaile bati Veeam Backup & Replication zerbitzarian fitxategi arbitrarioak idaztea ahalbidetzen duena, Linux-en oinarrituta. Honek datu sentikorren manipulazioa edo suntsipena eragin dezake. Ahultasun hau esplotatzeko, erasotzaileak kredentzial baliotsuak izan behar ditu eta zerbitzariari sarbidea.
    • CWE-36
    • CVSS: 8.6 (handia)
    • CVSS bektorea: N/A
    • Esplotazioa: Ez da detektatu
  • CVE-2026-32996: Veeam Agent for Microsoft Windows-en ahultasunak pribilegioen igotze lokal bat ahalbidetzen du. Honek erasotzaile bati sistema eragindakoan pribilegio handiagoekin kode kaltegarria exekutatzea ahalbidetu dezake. Ahultasun hau esplotatzeko, erasotzaileak konprometitutako gailuari sarbidea izan behar du.
    • CWE-532
    • CVSS: 7.3 (handia)
    • CVSS bektorea: N/A
    • Esplotazioa: Ez da detektatu

Arintzea/Konponbidea

Veeam Service Provider Console-n ahultasuna arintzeko, honako hau gomendatzen da:

  • Eguneratzea 9.2.1.33875 bertsiora, non CVE-2026-32998 ahultasuna konpontzen den.
  • Eguneratzea aplikatu aurretik ahultasuna arindu nahi bada:
    • Egiaztatu fitxategi hau:
      C:\ProgramData\Veeam\Veeam Availability
      Console\Configuration\Service\ configuration.overrides.json
    • Egiaztatu gako hau:
      "AlarmManagement_ScriptExecutionEnabled"
    • Balioaren egiaztapena:
      • False bada, ez da aldaketarik behar.
      • True bada:
        • Aldatu balioa False-ra
        • Berrabiarazi Veeam Management Portal Service zerbitzua
  • Veeam Backup & Replication erabiltzaileentzat:
    • Eguneratu 13.0.2.29 bertsiora honako ahultasunak konpontzeko:
      • CVE-2026-32996
      • CVE-2026-32997

Erreferentzia gehigarriak