CVE-2026-106077
WysokieCVSS 8.3Streszczenie
Podatność pozwala użytkownikowi z rolą Administrator w Veeam Backup for Microsoft 365 na odczyt dowolnych plików na serwerze backupu z uprawnieniami LocalSystem.
Ocena ryzyka
Osoba z uprawnieniami administratora backupu może odczytać poufne pliki systemowe i konfiguracyjne serwera, co może prowadzić do dalszej eskalacji i wycieku danych.
Rekomendacja
Zainstaluj dostępną aktualizację Veeam Backup for Microsoft 365 i ogranicz rolę Administrator do niezbędnego minimum.
Inne podatności w Veeam Backup for Microsoft 365
Zobacz wszystkie- CVE-2026-106078Średnie
Nieuwierzytelniony atakujący może obejść uwierzytelnianie REST API za pomocą sfałszowanego tokenu federacji i otrzymywać odpowiedzi z punktów końcowych REST API, które nie wywołują usługi backupu Veeam Backup for Microsoft 365.
- CVE-2025-64394Średnie
Niskouprzywilejowany użytkownik lokalny może zapisać dowolne pliki z uprawnieniami SYSTEM podczas instalacji Veeam Backup for Microsoft 365, co może prowadzić do eskalacji uprawnień lub odmowy działania.
- CVE-2026-106076Krytyczne
Podatność umożliwia uwierzytelnionemu peerowi transferu organizacji wstrzyknięcie SQL do bazy danych konfiguracji źródłowego serwera Veeam Backup for Microsoft 365. Prowadzi to do między-tenantowego odczytu i zapisu danych konfiguracyjnych oraz zdalnego wykonania kodu w kontekście konta usługi PostgreSQL.
Oryginalny opis (angielski, źródło NVD)
A vulnerability allowing a user with the Veeam Backup for Microsoft 365 Administrator role to read arbitrary files on the backup server with LocalSystem privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS