Veeam 数据备份解决方案修复多个严重漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

上周末，Veeam 修复了影响虚拟环境备份解决方案 Backup & Replication 的两个严重漏洞。

该应用程序为运行在 Hyper-V、vSphere和 Nutanix AHV 上的虚拟机，并且为服务器和工作站以及云工作负载提供数据备份和恢复能力。

这两个漏洞是CVE-2022-26500和CVE-2022-26501（CVSS评分9.8），攻击者无需认证即可利用这些漏洞远程执行代码。这些漏洞位于 Veeam Distribution Service 中，默认监听TCP端口9380，甚至允许未认证用户访问内部的API函数。因此远程攻击者可将输入发送给内部API，最终允许攻击者在未经认证的情况下上传并执行恶意代码。

并非所有版本均修复

Veeam Backup & Replication 版本 9.5、10和11受这两个漏洞影响，不过该公司仅为10和11版本发布补丁。因此仍然使用9.5版本的用户应迁移至受支持版本。

其它高危漏洞

更新还解决了位于 Veeam Backup & Replication 中的两个高危漏洞。

第一个漏洞是CVE-2022-26504，影响微软系统中心虚拟机管理器 (SCVMM) 一体化中的组件，可导致远程代码执行，即使攻击者不具有管理员域名凭据也如此。

第二个漏洞是CVE-2022-26503，影响微软 Windows 的 Veeam Agent，可被用于提权并以本地系统权限运行任意代码。该漏洞存在的原因是发送给由 Veeam Agent 打开的网络端口的代码未正确序列化。

该公司解释称，需将补丁安装在 Veeam Bakcup & Replication 服务器中，通过 Veeam Distribution Service 管理的服务器可自动接收到补丁。

如无法立即应用补丁，Veeam 公司建议禁用 Veeam Distribution Service 以缓解漏洞。

---

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

瑞士数据管理公司 Veeam 泄露4.45亿条客户记录

微软在 Linux 虚拟机偷偷安装Azure App，后修复严重漏洞但Linux虚拟机难以修复

谷歌 Compute Engine 的虚拟机曝0day未修复，可遭接管

微软推出 Project Freta：免费查找云虚拟机上的恶意软件

原文链接

https://www.securityweek.com/critical-vulnerabilities-patched-veeam-data-backup-solution

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~