Kritische Schwachstellen in Veeam Backup & Replication, Veeam Agent for Microsoft Windows und Veeam Service Provider Console geschlossen

04.12.2024

Der Hersteller Veeam hat am 03.12.2024 ein Update für die Produkte Veeam Backup & Replication, Veeam Agent for Microsoft Windows und Veeam Service Provider Console veröffentlicht. Die beschriebenen Schwachstellen in Veeam Backup & Replication beziehen sich auf die Fähigkeit eines authentifizierten böswilligen Benutzers mit einer eingeschränkten Rolle (Viewer/Operator), bestimmte Aktionen auszuführen, die normalerweise nur mit Administratorrechten auf dem Backup-Server möglich sind.

Klassifizierung

Product	CVE	CVSS 3.1 Score	Severity
Veeam Backup & Replication	CVE-2024-40717	8.8	High
Veeam Backup & Replication	CVE-2024-42451	7.7	High
Veeam Backup & Replication	CVE-2024-42452	8.8	High
Veeam Backup & Replication	CVE-2024-42453	8.8	High
Veeam Backup & Replication	CVE-2024-42455	7.1	High
Veeam Backup & Replication	CVE-2024-42456	8.8	High
Veeam Backup & Replication	CVE-2024-42457	7.7	High
Veeam Backup & Replication	CVE-2024-45204	7.7	High
Veeam Agent for Microsoft Windows	CVE-2024-45207	7.0	High
Veeam Service Provider Console	CVE-2024-42448	9.9	Critical
Veeam Service Provider Console	CVE-2024-42449	7.1	High

Betroffene Versionen

Veeam Backup & Replication | 12 | 12.1 | 12.2
Veeam Agent for Microsoft Windows | 6.0 | 6.1 | 6.2
Veeam Service Provider Console | 7.x | 8.0 | 8.1

Workarounds

Keine.

Maßnahmen

Um diese Schwachstellen zu minimieren, bis der Backup-Server auf Version 12.3 aktualisiert werden kann, entfernen Sie einfach nicht vertrauenswürdige und/oder nicht benötigte Benutzer aus den Einstellungen für Benutzer und Rollen auf dem Backup-Server.

Überprüfen Sie alle Benutzer, denen eine Rolle in Veeam Backup & Replication zugewiesen ist.
Bewerten Sie für jeden Benutzer mit der Rolle "Operator" oder "Viewer" die interne Notwendigkeit, und entfernen Sie den Zugriff für Benutzer, die ihn nicht unbedingt benötigen.
Update Veeam Backup & Replication auf Version 12.3 (Build 12.3.0.310) bzw. den Veeam Agent for Microsoft Windows auf Version 6.3 (Build 6.3.0.177), https://www.veeam.com/kb4696

Wenn Sie die Service Provider Console einsetzen: