数据保护公司Veeam 修补企业产品中的严重漏洞

备份、恢复和数据保护公司 Veeam 本周宣布修补其企业产品中的多个漏洞，包括可能导致远程代码执行 (RCE) 的严重漏洞。

该公司解决了其备份和复制产品中的六个漏洞，其中包括一个严重程度极高的问题，该问题可在无需身份验证的情况下被远程利用来执行任意代码。该安全漏洞的编号为 CVE-2024-40711，CVSS 评分为 9.8。

Veeam 还宣布了针对 CVE-2024-40710（CVSS 评分为 8.8）的补丁，该补丁涉及多个相关的高严重性漏洞，可能导致 RCE 和敏感信息泄露。

其余四个高严重性漏洞可能导致多因素身份验证 (MFA) 设置的修改、文件删除、敏感凭据的拦截以及本地权限提升。

所有安全缺陷均影响备份和复制版本 12.1.2.172 及更早的 12 个版本，并已在解决方案版本 12.2（版本 12.2.0.334）的发布中得到解决。

本周，该公司还宣布 Veeam ONE 12.2 版（内部版本 12.2.0.4093）修复了六个漏洞。其中两个漏洞属于严重漏洞，可能允许攻击者在运行 Veeam ONE 的系统上远程执行代码（CVE-2024-42024）并访问 Reporter Service 账户的 NTLM 哈希（CVE-2024-42019）。

其余四个问题均为“高严重性”，可能允许攻击者以管理员权限执行代码（需要身份验证）、访问已保存的凭据（需要拥有访问令牌）、修改产品配置文件以及执行 HTML 注入。

Veeam 还解决了服务提供商控制台中的四个漏洞，其中包括两个严重程度较高的漏洞，它们可能允许具有低权限的攻击者访问 VSPC 服务器上服务帐户的 NTLM 哈希（CVE-2024-38650）并将任意文件上传到服务器并实现 RCE（CVE-2024-39714）。

其余两个漏洞均为“高危”漏洞，可能允许低权限攻击者在 VSPC 服务器上远程执行代码。Veeam Service Provider Console 版本 8.1（内部版本 8.1.0.21377）中已解决所有四个问题。

Veeam Agent for Linux 版本 6.2（内部版本 6.2.0.101）、Veeam Backup for Nutanix AHV 插件版本 12.6.0.632 以及 Backup for Oracle Linux Virtualization Manager 和 Red Hat Virtualization 插件版本 12.5.0.299 的发布还解决了高严重性错误。

Veeam 并未提及这些漏洞是否已被利用。不过，我们建议用户尽快更新其安装，因为已知威胁行为者曾利用存在漏洞的 Veeam 产品发起攻击。

原文始发于微信公众号（河南等级保护测评）：数据保护公司Veeam 修补企业产品中的严重漏洞