Veeam пусна корекции за сигурност за критична уязвимост за заобикаляне на оторизацията във Veeam Backup & Replication, която позволява на атакуващ без идентификационни данни за вход да заобиколи проверките за достъп в услугата CDP Coordinator Service.
Проследяван като CVE-2026-108142, дефектът е с CVSS v4.0 оценка 9.1 и засяга както инсталациите, базирани на Windows, така и софтуерното устройство Veeam Software Appliance.
Компанията разкри проблема на 27 октомври 2026 г. в своя бюлетин за сигурност KB4948. Бюлетинът обхваща също две уязвимости със средна степен на опасност за запис на файлове в Backup & Replication и дефект с висока степен на опасност за локално ескалиране на привилегии във Veeam Agent за Linux. HackerOne е докладвал и четирите проблема.
CVE-2026-108142 засяга Veeam Backup & Replication 13.1.1.18 и по-ранни компилации в клона 13.1, както и 13.0.2.29 и по-ранни компилации в клона 13.0. Veeam определя версия 12.x като незасегната от този проблем.
Дефектът е свързан с оторизацията — проверките, които определят какви действия може да извърши даден заявител. От Veeam заявяват, че автентикиран или неавтентикиран атакуващ може да заобиколи тези проверки в услугата CDP Coordinator Service.
Въпреки това в бюлетина не се описва последователността на атаката, нито се заявява, че уязвимостта позволява отдалечено изпълнение на код. Освен това не се съобщава за активно използване на уязвимостта.
Veeam коригира уязвимост в Backup & Replication
Veeam посочва първите коригирани версии като Backup & Replication 13.1.2, компилация 13.1.2.57, и Backup & Replication 13.0.3, компилация 13.0.3.63. Администраторите трябва да съпоставят инсталираната си версия с тези номера на компилации, вместо да проверяват само основната версия на продукта.
Обновяването отстранява и CVE-2026-108140 и CVE-2026-108141, всяка с оценка за средна степен на опасност и CVSS v4.0 резултат от 5.9. И двете изискват автентикиран потребител с роля „Restore Operator“, който също така контролира съдържанието на архивиран мрежов дял (NAS).
При тези условия атакуващ може да използва обхождане на относителни пътища (relative path traversal), за да запише контролирани от него файлове на произволно място върху сървъра за резервни копия. Казано по-просто, пътят на файла може да излезе извън предвидената за него папка. Veeam посочва същите засегнати компилации и коригирани издания на Backup & Replication за двете уязвимости.
Отделният проблем за Linux, CVE-2026-105477, има висок резултат на опасност от 7.3. Той позволява локално ескалиране на привилегии и засяга единствено инсталации на Veeam Agent за Linux, управлявани от Backup & Replication. Засегнатите версии включват 13.1.1.4 и по-ранни компилации от клон 13.1. Корекцията започва от версия 13.1.2, компилация 13.1.2.11.
Cyber Security News по-рано съобщи за атакуващи, експлоатиращи CVE-2024-40711 във Veeam за разпространение на рансъмуера Frag, което подчерта рисковете за сигурността на резервните копия, въпреки че тази отделна уязвимост не потвърждава реална злонамерена експлоатация на новоразкритото заобикаляне на оторизацията.
Изданието съобщи също за октомврийското обновяване на сигурността на Veeam за версия 12.3.2, като отбеляза, че различните продуктови клонове може да изискват различни корекции за сигурност.
Администраторите могат да проверят инсталираната компилация на Backup & Replication през Help > About в конзолата. Страницата с информация за изданията на Veeam предоставя насоки за обновяване.
Компанията предупреждава, че атакуващите могат да изследват публикуваните корекции за сигурност, за да намерят начини за проникване в некоригирани системи, което прави своевременното инсталиране изключително важно за засегнатите резервни сървъри и управлявани Linux агенти.