Vulnérabilités Critiques Veeam Backup & Replication
Date de publication :
Le logiciel Veeam Backup & Replication est une application de sauvegarde conçue pour les environnements virtuels.
CVE-2022-26501CVE-2022-26500[Score CVSS v3.1: 9.8]
Une restriction incorrecte de l’accès aux fonctions API internes de Beeam Backup & Replication peut permettre à un attaquant non authentifié de générer du code arbitraire et prendre le contrôle de la machine.
CVE-2022-26503[Score CVSS v3.1: 8.8]
Une faille dans Veeam Agent pour Microsoft Windows permet une élévation locale des privilèges donnant la possibilité à un attaquant d’exécuter du code arbitraire avec les privilèges LOCAL SYSTEM.
CVE-2022-26504[Score CVSS v3.1: 8.8 ]
Une vulnérabilité dans la politique d’authentification de Veeam.Backup.PSManager.exe peut permettre à un attaquant d’exécuter du code arbitraire.
Informations
La faille est activement exploitée :
Un correctif existe :
Une mesure de contournement existe :
Risques
- Escalade de privilège
- Déni de service
- Exécution de code arbitraire
Criticité
- Score CVSS v3.1: 9.8 max (critique)
La faille est activement exploitée
- Non, pour l’ensemble des CVE présentées.
Un correctif existe
- Oui, pour l’ensemble des CVE présentées.
Une mesure de contournement existe
- Non, pour l’ensemble des CVE présentées.
Détails sur l’exploitation
Pour les CVE-2022-26501CVE-2022-26500
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Aucun.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Pour la CVE-2022-26503
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Privilèges utilisateur simple.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Oui.
Pour la CVE-2022-26504
- Vecteur d’attaque : Réseau.
- Complexité de l’attaque : Faible.
- Privilèges nécessaires pour réaliser l’attaque : Privilèges utilisateur simple.
- Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
- L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.
Composants vulnérables
Pour les CVE-2022-26501CVE-2022-26500
- Veeam Backup & Replication.
Pour la CVE-2022-26503
- Veeam.Backup.PSManager.exe
Pour la CVE-2022-26504
- Veeam Agent for Microsoft Windows
- Seules les installations avec SCVMM (System Center Virtual Machine Manager) sont vulnérables.
Solutions ou recommandations
- Les correctif et détails supplémentaires sont disponibles ici.