Veeam - CVE-2023-22793
Date de publication :
Il s’agit d’une vulnérabilité dans le service Veeam Virtualization Extensions de Veeam Management Pack for Microsoft System Center.
Veeam Management Pack for Microsoft System Center est une extension de Microsoft System Center Operations Manager. Elle supervise les environnements VMware vSphere, Microsoft Hyper-V et Veeam Backup & Replication depuis la console de System Center.
Le service désérialise des données non fiables sans contrôle suffisant. L’attaque est réalisable à distance par le réseau. La complexité d’attaque est faible. Aucune authentification n’est requise. Aucune interaction de l’utilisateur n’est nécessaire. Le défaut a été découvert lors de tests internes chez Veeam. L’éditeur indique que les correctifs publiés peuvent être rétro-analysés pour cibler les installations non mises à jour.
Elle permet à un attaquant non authentifié d’obtenir l’exécution de code arbitraire à distance sur le serveur qui héberge le service.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-502 : Deserialization of Untrusted Data
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Veeam Management Pack for Microsoft System Center versions 9.1 et antérieures. Cela couvre toutes les versions 9.x, y compris le correctif de compatibilité Veeam Backup & Replication 13.
Solutions ou recommandations
• Branche 9.x : aucun correctif ne sera publié. Il faut migrer vers la version 13.1.0.334.