Vulnérabilités Critiques Veeam Backup & Replication

Date de publication :

Le logiciel Veeam Backup & Replication est une application de sauvegarde conçue pour les environnements virtuels.
 

CVE-2022-26501CVE-2022-26500[Score CVSS v3.1: 9.8] 
Une restriction incorrecte de l’accès aux fonctions API internes de Beeam Backup & Replication peut permettre à un attaquant non authentifié de générer du code arbitraire et prendre le contrôle de la machine.

CVE-2022-26503[Score CVSS v3.1: 8.8]
Une faille dans Veeam Agent pour Microsoft Windows permet une élévation locale des privilèges donnant la possibilité à un attaquant d’exécuter du code arbitraire avec les privilèges LOCAL SYSTEM.

CVE-2022-26504[Score CVSS v3.1: 8.8 ]
Une vulnérabilité dans la politique d’authentification de Veeam.Backup.PSManager.exe peut permettre à un attaquant d’exécuter du code arbitraire.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Escalade de privilège
  • Déni de service
  • Exécution de code arbitraire

Criticité

  • Score CVSS v3.1: 9.8 max (critique)

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées.

Un correctif existe

  • Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées.

Détails sur l’exploitation

Pour les CVE-2022-26501CVE-2022-26500

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

 

Pour la CVE-2022-26503

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Privilèges utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.

 

Pour la CVE-2022-26504

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Privilèges utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

 

Composants vulnérables

Pour les CVE-2022-26501CVE-2022-26500

  • Veeam Backup & Replication.

Pour la CVE-2022-26503

  • Veeam.Backup.PSManager.exe

Pour la CVE-2022-26504

  • Veeam Agent for Microsoft Windows
  • Seules les installations avec SCVMM (System Center Virtual Machine Manager) sont vulnérables.

Solutions ou recommandations

  • Les correctif et détails supplémentaires sont disponibles ici.

 

Liens