شرکت Veeam Software، یکی از پیشروان در زمینه راه‌حل‌های پشتیبان‌گیری، بازیابی و مدیریت داده‌ها، از کشف و رفع چندین آسیب پذیری حیاتی و با شدت بالا در چندین محصول خبر داده است.این آسیب پذیری ها در حین آزمایش‌های داخلی و از طریق گزارش‌های خارجی شناسایی شدند و خطرات بالقوه‌ای را برای کاربران Veeam Backup & Replication (CVE-2024-40711)، Veeam ONE، Veeam Agent برای لینوکس، Veeam Service Provider Console و سایر محصولات Veeam به همراه دارند.

آسیب پذیری های کلیدی و تاثیرات آن‌ها:

CVE-2024-40711 یک نقص حیاتی است که اجازه اجرای کد از راه دور (RCE) بدون احراز هویت را می‌دهد و توسط Florian Hauser از CODE WHITE GmbH گزارش شده است. این نقص امتیاز CVSS 9.8 را دارد.

CVE-2024-40713 و CVE-2024-40710 نواقص با شدت بالا هستند که به کاربران با دسترسی کم اجازه می‌دهند تنظیمات احراز هویت چندعاملی (MFA) را تغییر دهند و به اجرای کد از راه دور بپردازند. همچنین، CVE-2024-39718 به کاربران با دسترسی کم اجازه حذف فایل‌ها به‌صورت از راه دور را می‌دهد و دارای امتیاز CVSS 8.1 است. دیگر نواقص شامل مشکلات مرتبط با تأیید اعتبار گواهی TLS و ارتقاء دسترسی محلی است.

• Veeam Agent for Linux– CVE-2024-40709: یک نقص با شدت بالا که اجازه ارتقاء دسترسی محلی به سطح root را می‌دهد و از طریق HackerOne گزارش شده است.
• Veeam ONE – CVE-2024-42024 and CVE-2024-42019: نواقص حیاتی که اجازه اجرای کد از راه دور و دسترسی به هش‌های NTLM را می‌دهند و به ترتیب دارای امتیازهای 9.1 و 9.0 هستند. نواقص دیگری شامل اجرای کد با دسترسی Administrator و تزریق HTML است.
• Veeam Service Provider Console – CVE-2024-38650 and CVE-2024-39714: نواقص حیاتی که اجازه دسترسی به هش‌های NTLM و اجرای کد از راه دور از طریق بارگذاری فایل‌های دلخواه را می‌دهند و هر دو دارای امتیاز CVSS 9.9 هستند.
• Veeam Backup for Nutanix AHV and Other Plug-Ins – CVE-2024-40718: یک نقص با شدت بالا که اجازه ارتقاء دسترسی محلی به‌صورت SSRF را می‌دهد.

راه‌حل‌ها و به‌روزرسانی‌ها:

Veeam این نواقص را در آخرین به‌روزرسانی‌های نرم‌افزاری برطرف کرده و از همه کاربران خواسته است که به نسخه‌های زیر به‌روزرسانی کنند:

• Veeam Backup & Replication: Version 12.2 (build 12.2.0.334)
• Veeam Agent for Linux: Version 6.2 (build 6.2.0.101)
• Veeam ONE: Version 12.2 (build 12.2.0.4093)
• Veeam Service Provider Console: Version 8.1 (build 8.1.0.21377)
• Veeam Backup for Nutanix AHV and Other Plug-Ins: Latest versions included with Veeam Backup & Replication 12.2

به کاربران به شدت توصیه می‌شود که به آخرین نسخه‌ها به‌روزرسانی کنند تا خطرات امنیتی احتمالی را کاهش دهند.

منبع