Veeam - CVE-2026-108142
Date de publication :
Il s’agit d’une vulnérabilité dans le service CDP Coordinator de Veeam Backup & Replication.
Veeam Backup & Replication est une solution de sauvegarde, de restauration et de réplication de données pour les environnements virtuels, physiques et cloud. Elle s’administre depuis un serveur de sauvegarde centralisé, installé sous Windows ou déployé sous forme d’appliance logicielle.
Ce service appartient à la fonction Continuous Data Protection et s’exécute sur le serveur de sauvegarde. Le défaut touche les contrôles d’autorisation et relève d’un mécanisme de type fail open, où le service bascule dans un état permissif au lieu de refuser l’accès. L’attaque s’effectue à distance par le réseau, sans authentification ni interaction de l’utilisateur. Elle concerne les déploiements Windows et la Veeam Software Appliance des branches 13.0 et 13.1.
Elle permet à un attaquant distant et non authentifié de contourner l’autorisation du service CDP Coordinator, avec un impact élevé sur l’intégrité et la disponibilité du serveur de sauvegarde.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-636 : Not Failing Securely ('Failing Open')
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Veeam Backup & Replication versions 13.1.1.18 et antérieures (branche 13.1)
- Veeam Backup & Replication versions 13.0.2.29 et antérieures (branche 13.0)
Solutions ou recommandations
• Veeam Backup & Replication versions 13.0.3 (build 13.0.3.63) et supérieures