Veeam Security Bulletin 2024 corrige múltiples vulnerabilidades.

Veeam ha publicado un nuevo documento de seguridad que aborda varias vulnerabilidades críticas en su cartera de productos. El documento de seguridad de Veeam con KB ID 4649 contiene actualizaciones para Veeam Backup & Replication, Veeam ONE, Veeam Service Provider Console, Veeam Agent para Linux, Veeam Backup para Nutanix AHV y Veeam Backup para Oracle Linux Virtualization Manager y Red Hat Virtualization.

Los problemas de seguridad detallados en este documento resaltan varias vulnerabilidades críticas que podrían afectar la seguridad y la funcionalidad de las soluciones de Veeam. Este artículo las describe brevemente. Acerca de las actualizaciones presentadas en la documentación de seguridad de Veeam

Aspectos destacados del boletín de seguridad de Veeam

Aquí hay detalles sobre las vulnerabilidades descubiertas y las correcciones relacionadas:

1. Copia de seguridad y replicación de Veeam

Se han informado múltiples vulnerabilidades que afectan a Veeam Backup & Replication 12.1.2.172 y versiones anteriores. Estas vulnerabilidades incluyen:

• CVE-2024-40711: Esta vulnerabilidad crítica permite la ejecución remota de código (RCE) no verificada. Esta vulnerabilidad fue descubierta por Florian Hauser de CODE WHITE GmbH y tiene una calificación CVSS v3.1.
• CVE-2024-40713: Vulnerabilidad de alta gravedad que permite a usuarios con pocos privilegios cambiar la configuración de autenticación multifactor (MFA), eludiendo así MFA, con una puntuación CVSS v3 de .1 de 8,8.
• CVE-2024-40710: esta vulnerabilidad de alta gravedad permite la ejecución remota de código (RCE) utilizando una cuenta de servicio y filtrando información confidencial. También obtuvo una puntuación de 8,8 en la escala CVSS v3.1.
• CVE-2024-39718: permite a los usuarios con pocos privilegios eliminar archivos del sistema de forma remota utilizando privilegios de cuenta de servicio. Tiene una puntuación CVSS v3.1 de 8,1.
• CVE-2024-40714: Una vulnerabilidad de alta gravedad en la validación de certificados TLS podría permitir a los atacantes interceptar credenciales confidenciales durante las operaciones de restauración, con una puntuación de 8,3 en la escala CVSS v3.1.
• CVE-2024-40712: esta vulnerabilidad de acceso a ruta permite a atacantes con privilegios bajos lograr una escalada de privilegios local (LPE). Tiene una puntuación CVSS v3.1 de 7,8.

La solución para estos problemas se incluye en Veeam Backup & Replication versión 12.2 (compilación 12.2.0.334).

2. Veeam Agente para Linux

Para Veeam Agent para Linux, las versiones 6.1.2.178 y anteriores se ven afectadas por:

• CVE-2024-40709: Esta vulnerabilidad de alta gravedad permite escalar privilegios locales al nivel raíz y tiene una puntuación de 7,8 en la escala CVSS v3.1.

Este problema se solucionó en Veeam Agent para Linux versión 6.2 (compilación 6.2.0.101), que se incluye en Veeam Backup & Replication 12.2.

3. Soy uno

Veeam ONE 12.1.0.3208 y versiones anteriores se ven afectados por varias vulnerabilidades:

• CVE-2024-42024: Permite la ejecución remota de código en máquinas Veeam ONE Agent con credenciales de cuenta de servicio. Tiene una puntuación CVSS v3.1 de 9,1.
• CVE-2024-42019: Otorgar acceso al hash NTLM de las cuentas de Veeam Reporter Service requiere la interacción del usuario, con una calificación de 9,0 en la escala CVSS v3.1.
• CVE-2024-42023: permite a usuarios con pocos privilegios ejecutar código de forma remota con privilegios de administrador. con una puntuación de gravedad de 8,8
• CVE-2024-42021: permite a los atacantes con tokens de acceso válidos acceder a las credenciales guardadas, con una calificación de 7,5 en la escala CVSS v3.1.
• CVE-2024-42022: Permite modificar archivos de configuración del producto y además tiene una calificación de 7,5.
• CVE-2024-42020: Vulnerabilidad de inyección de HTML en Reporter Widgets, puntuación 7,3

Estas vulnerabilidades se corrigen en Veeam ONE v12.2 (compilación 12.2.0.4093).

4. Consola del proveedor de servicios de Veeam

Veeam Service Provider Console (VSPC) 8.0.0.19552 y anteriores se identifica por:

• CVE-2024-38650: Vulnerabilidad crítica que permite a atacantes con pocos privilegios acceder al hash NTLM de cuentas de servicio en servidores VSPC, con una puntuación de 9,9 en la escala CVSS v3.1.
• CVE-2024-39714: permite a usuarios con pocos privilegios cargar archivos arbitrarios. Esto da como resultado la ejecución remota de código en el servidor VSPC. Este problema también recibió una calificación de 9,9.
• CVE-2024-39715: Similar a CVE-2024-39714. Pero a través del acceso a la API REST, tiene una puntuación de gravedad alta de 8,5.
• CVE-2024-38651: permite a usuarios con pocos privilegios sobrescribir archivos. Esto permite la ejecución remota de código, con una puntuación CVSS v3.1 de 8,5.

La solución está incluida en Veeam Service Provider Console versión 8.1 (compilación 8.1.0.21377).

5. Veeam Backup para Nutanix AHV y otros complementos

Veeam Backup para Nutanix AHV Plug-In 12.5.1.8 y anteriores, así como Veeam Backup para Oracle Linux Virtualization Manager y Red Hat Virtualization Plug-In 12.4.1.45, se ven afectados por:

• CVE-2024-40718: permite la escalada de privilegios locales a través de una vulnerabilidad SSRF, con una puntuación de gravedad de 8,8 en la escala CVSS v3.1.

Estos problemas se solucionan en Veeam Backup para Nutanix AHV Plug-In v12.6.0.632 y Veeam Backup para Oracle Linux Virtualization Manager y Red Hat Virtualization Plug-In v12.5.0.299, ambos incluidos con Veeam Backup &. 12.2

Conclusión

Este completo informe de seguridad de Veeam aborda actualizaciones y correcciones importantes para varios productos de Veeam. Se recomienda a los usuarios que actualicen a las últimas versiones de Veeam Backup & Replication, Veeam Agent para Linux, Veeam ONE, Veeam Service Provider Console y otros productos relacionados. Para reducir estas vulnerabilidades

Las actualizaciones periódicas y las estrictas prácticas de seguridad siguen siendo importantes para proteger los datos de posibles amenazas y garantizar la integridad de las soluciones de protección de datos.

relacionado