Veeam官方于Veeam Backup & Replication软件中发现并修复了一个严重的漏洞

Veeam公司发布了安全更新，以解决其产品中多个漏洞。该公司修复了Veeam Backup & Replication、Service Provider Console和One等软件中的18个高和严重漏洞。其中最严重的一個漏洞是CVE-2024-40711（CVSS v3.1分数：9.8），是一个远程代码执行（RCE）漏洞，影响Veeam Backup & Replication（VBR）。Veeam Backup & Replication是一款由Veeam开发的全面的数据保护和灾难恢复软件，可以将数据备份、恢复和复制到物理、虚拟和云环境中。

该漏洞允许未经身份验证的远程代码执行，Veeam公司的安全公告中称之为“允许未经身份验证的远程代码执行”。这项漏洞影响Veeam Backup & Replication 12.1.2.172及其所有早期版本12 builds。

此外，Veeam公司还解决了CVE-2024-40713（CVSS v3.1分数：8.8）漏洞，该漏洞允许已分配低权限角色的用户修改Veeam Backup & Replication中的多因素身份验证（MFA）设置并绕过MFA。

Veeam公司还修复了一系列相关高严重漏洞，包括CVE-2024-40710，可能导致远程代码执行（RCE）和敏感信息（保存的凭证和密码）的提取。这些漏洞的利用需要已分配低权限角色的用户。

其他影响Veeam Backup & Replication 12.1.2.172 及更早版本的漏洞包括：

• CVE-2024-40712：允许攻击者拥有低权限账户和本地访问权限的系统进行本地权限 escalation（LPE）（CVSS分数：7.8）
  

• CVE-2024-40714：TLS证书验证漏洞允许在同一网络上的攻击者在恢复操作中拦截敏感凭证（CVSS分数：8.3）

• CVE-2024-39718：允许低权限用户远程删除具有服务账户权限的文件（CVSS分数：8.1）

剩下的漏洞影响Service Provider Console和One软件。公司并没有披露这些漏洞是否在野外攻击中被利用。

原文始发于微信公众号（黑猫安全）：Veeam官方于Veeam Backup & Replication软件中发现并修复了一个严重的漏洞