Aktywnie wykorzystywana w atakach
Veeam Backup & Replication Remote Code Execution Vulnerability
Veeam - Backup & Replication · Figuruje w katalogu CISA KEV od 2022-12-13. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-26500
WysokieCVSS 8.8KEVStreszczenie
Niewłaściwe ograniczenie nazw ścieżek w Veeam Backup & Replication 9.5U3, 9.5U4, 10.x i 11.x. Uwierzytelniony zdalny użytkownik może uzyskać dostęp do wewnętrznych funkcji API i przesłać oraz wykonać dowolny kod.
Ocena ryzyka
Umożliwia zdalne wykonanie kodu na serwerze backupu, co może prowadzić do pełnej kompromitacji infrastruktury kopii zapasowych.
Rekomendacja
Zaktualizować Veeam Backup & Replication do wersji zawierającej poprawkę i ograniczyć dostęp do interfejsu API.
Inne podatności w Veeam Backup & Replication
Zobacz wszystkie- CVE-2026-21672Wysokie
Podatność umożliwiająca lokalne podniesienie uprawnień na serwerach Veeam Backup & Replication działających na systemie Windows.
- CVE-2026-21671Krytyczne
Podatność umożliwia uwierzytelnionemu użytkownikowi z rolą Administratora Kopii Zapasowej wykonanie zdalnego kodu (RCE) w środowiskach wysokiej dostępności (HA) aplikacji Veeam Backup & Replication.
- CVE-2024-40711KrytyczneAktywnie exploitowane
Podatność deserializacji niezaufanych danych z złośliwym ładunkiem może pozwolić nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE).
- CVE-2023-27532WysokieAktywnie exploitowane
Podatność w komponencie Veeam Backup & Replication pozwala na uzyskanie zaszyfrowanych poświadczeń przechowywanych w bazie danych konfiguracji. Może to prowadzić do uzyskania dostępu do hostów infrastruktury backupowej.
- CVE-2022-26501KrytyczneAktywnie exploitowane
Veeam Backup & Replication w wersjach 10.x i 11.x zawiera błąd nieprawidłowej kontroli dostępu (problem 1 z 2).
Oryginalny opis (angielski, źródło NVD)
Improper limitation of path names in Veeam Backup & Replication 9.5U3, 9.5U4,10.x, and 11.x allows remote authenticated users access to internal API functions that allows attackers to upload and execute arbitrary code.