Veeam Security Bulletin September 2024: Wichtige Sicherheitsupdates und Empfehlungen

In der aktuellen Sicherheitsmitteilung von Veeam für September 2024 werden mehrere kritische Sicherheitslücken in verschiedenen Veeam-Produkten behandelt. Diese Sicherheitslücken wurden während interner Tests entdeckt oder über Plattformen wie HackerOne. Ein schnelles Handeln ist dringend zu empfehlen.

Die aktuellen Meldungen zu Veeam Backup & Replication fassen wir nachfolgend für Sie zusammen. Darüber hinaus finden Sie weitere Informationen zu Schwachstellen im Veeam Agent for Linux, in Veeam One, in der Veeam Service Provider Console sowie bei Veeam Backup for Nutanix AHV, Veeam Backup for Oracle Linux Virtualization Manager und Red Hat Virtualization unter diesem Link.

Kritische Sicherheitslücken und ihre Auswirkungen in Veeam Backup & Replication

• CVE-2024-40711: Diese Schwachstelle ermöglicht eine nicht authentifizierte Remote-Code-Ausführung (RCE) und wurde als kritisch eingestuft mit einem CVSS v3.1 Score von 9.8.
• CVE-2024-40713: Ein Benutzer mit niedrigen Berechtigungen kann die Multi-Faktor-Authentifizierung (MFA) ändern und umgehen. Diese Schwachstelle hat einen CVSS v3.1 Score von 8.8.
• CVE-2024-40710: Eine Reihe von Schwachstellen, die es einem Benutzer mit niedrigen Berechtigungen ermöglichen, Remote-Code auszuführen und sensible Informationen zu extrahieren. Diese Schwachstellen wurden ebenfalls mit einem CVSS v3.1 Score von 8.8 bewertet.
• CVE-2024-39718: Diese Schwachstelle erlaubt es einem Benutzer mit niedrigen Berechtigungen, Dateien auf dem System mit den Rechten des Dienstkontos zu entfernen. Der CVSS v3.1 Score beträgt 8.1.
• CVE-2024-40714: Eine Schwachstelle in der TLS-Zertifikatsvalidierung, die es einem Angreifer im selben Netzwerk ermöglicht, sensible Anmeldeinformationen während Wiederherstellungsoperationen abzufangen. Diese Schwachstelle hat einen CVSS v3.1 Score von 8.3.
• CVE-2024-40712: Ein Pfad-Traversal-Fehler, der einem Angreifer mit niedrigen Berechtigungen und lokalem Zugriff ermöglicht, lokale Privilegieneskalation (LPE) durchzuführen. Der CVSS v3.1 Score beträgt 7.8.

Handlungsempfehlungen und Lösungen

Veeam empfiehlt dringend, auf die neuesten Versionen der betroffenen Produkte zu aktualisieren, um diese Sicherheitslücken zu beheben. Der folgende Build enthält die notwendigen Patches:

Veeam Backup & Replication 12.2 (Build 12.2.0.334)

Wichtig ist nun, diese Updates so schnell wie möglich zu installieren, um Ihre Systeme vor potenziellen Angriffen zu schützen. Unsere Expert:innen können Sie dabei unterstützen. Nehmen Sie dazu bitte direkt Kontakt mit Ihren Ansprechpartner:innen aus unserem Haus auf oder kontaktieren Sie uns unter service@enthus.de.