Backup-Managementtool: Schadcode-Lücke bedroht Veeam Service Provider

Angreifer können Systeme mit dem Backup-Managementtool Veeam Service Provider attackieren und im schlimmsten Fall eigenen Code ausführen, um Computer vollständig zu kompromittieren. Dagegen abgesicherte Ausgaben stehen zum Download bereit.

Kritische Schwachstelle

Wie aus einer Warnmeldung von Veeam hervorgeht, ist die Sicherheitslücke (CVE-2024-29212) mit dem Bedrohungsgrad "kritisch" eingestuft. Die Schwachstelle steckt in Veeam Service Provider Console (VSPC). Davon seien die Versionen 4.0, 5.0, 6.0, 7.0 und 8.0 betroffen. Andere Produkte sollen davon hingegen nicht bedroht sein. Die VSCP nutze eine unsichere Methode zur Deserialisierung von Daten.

Weil die Überprüfung von Eingaben nicht ausreichend ist, kann ein entfernter Angreifer unter bestimmten, nicht näher ausgeführten Bedingungen Schadcode einschleusen und ausführen. Um Systeme zu schützen, müssen Admins die VSPC-Ausgabe 7.0.0.18899 oder 8.0.0.19236 installieren. Da der Support für 4.0, 5.0 und 6.0 bereits ausgelaufen und es für diese Versionen keine Sicherheitsupdates mehr gibt, sollten Admins ein Upgrade auf die abgesicheten Versionen durchführen. Andernfalls bleiben Systeme verwundbar.

Veeam gibt an, die Schwachstelle im Zuge von internen Tests entdeckt zu haben. Bislang gibt es keine Berichte zu laufenden Attacken.

Lesen Sie auch

Rechtausweitung durch Lücken in Veeam Recovery Orchestrator möglich

Zuletzt hatte Veeam im Februar die Recovery-Orchestrator-Software mit Flicken ausstatten müssen. Angreifer hätten zuvor zwei Sicherheitslücken zum Ausweiten ihrer Rechte am System missbrauchen können.

(des)