Resumen ejecutivo
Se han resuelto vulnerabilidades de alto impacto en Veeam Backup & Replication, corregidas en la actualización 12.3.2. Esta versión aborda tres fallos de seguridad: CVE-2025-23121, una vulnerabilidad crítica que permite ejecución remota de código (RCE) por parte de un usuario autenticado en un servidor unido a un dominio; CVE-2025-24286, que permite a un operador de backup modificar tareas para ejecutar código arbitrario; y CVE-2025-24287, que permite a usuarios locales manipular directorios y ejecutar código con privilegios elevados. Veeam recomienda aplicar esta actualización de forma inmediata para mitigar los riesgos asociados.
Recursos afectados
- Veeam Backup & Replication (12.3.1.1139 y todas las versiones anteriores de la versión 12)
- Veeam Agent para Microsoft Windows (6.3.1.1074 y todas las versiones anteriores de la versión 6)
Análisis técnico
- CVE-2025-23121: Identificador reservado
- CWE N/A
- CVSS: N/A
- Vector CVSS: N/A
- Explotación: N/A
- CVE-2025-24286: Identificador reservado
- CWE N/A
- CVSS: N/A
- Vector CVSS: N/A
- Explotación: N/A
- CVE-2025-24287: Identificador reservado
- CWE N/A
- CVSS: N/A
- Vector CVSS: N/A
- Explotación: N/A
Mitigación / Solución
Para mitigar los problemas de seguridad descritos, el fabricante recomienda la actualización inmediata a la versión más reciente del software. Las siguientes vulnerabilidades se han resuelto en Veeam Backup & Replication 12.3.2: CVE-2025-23121 que afecta a Veeam Backup & Replication 12.3.1.1139 y todas las versiones anteriores del 12, CVE-2025-24286 que afecta a Veeam Backup & Replication 12.3.1.1139 y todas las versiones anteriores del 12, y CVE-2025-24287 que impacta Veeam Agent para Microsoft Windows 6.3.1.1074 y todas las versiones anteriores del 6. Las versiones del producto no compatibles probablemente estén afectadas y deben considerarse vulnerables. Se subraya la importancia crítica de garantizar que todos los clientes utilicen las versiones más recientes del software y que instalen todas las actualizaciones y parches sin demora para evitar el riesgo de que los atacantes exploten las implementaciones no parcheadas del software Veeam.