CVE-2024-42448 (CVSS 9.9)：Veeam VSPC 中的严重 RCE 漏洞

知名备份和灾难恢复解决方案提供商 Veeam Software 已发布紧急安全更新，以解决其服务提供商控制台 (VSPC) 中的两个严重漏洞。其中一个漏洞被标识为 CVE-2024-42448，CVSS 评分为 9.9，可能允许远程攻击者在易受攻击的系统上执行任意代码。

VSPC 是一个集中管理平台，服务提供商利用该平台来监督和维护其客户的备份和灾难恢复操作。该平台支持各种工作负载，包括虚拟机、Microsoft 365 数据和公共云环境。

漏洞详细信息：

CVE-2024-42448 (CVSS 9.9)：此严重远程代码执行漏洞允许攻击者利用授权管理代理来破坏 VSPC 服务器。成功利用此漏洞可使攻击者完全控制服务器，从而可能危及敏感的客户数据并破坏备份和恢复操作。

CVE-2024-42449 (CVSS 7.1)：此高严重性漏洞还利用授权管理代理提取 VSPC 服务器服务帐户的 NTLM 哈希并删除服务器上的文件。这可用于提升权限并进一步破坏系统。

受影响的版本：

这些漏洞影响 Veeam Service Provider Console 版本 8.1.0.21377 及所有早期版本，包括版本 8 和 7。虽然不受支持的产品版本没有经过明确测试，但 Veeam 建议应将其视为易受攻击的产品版本。

减轻：

Veeam 已在服务提供商控制台版本 8.1.0.21999 中解决了这些漏洞。该公司强烈敦促所有使用受支持版本的 VSPC 的服务提供商立即更新到此最新累积补丁。鼓励使用不受支持版本的服务提供商升级到最新版本的 VSPC，以确保其系统受到保护。