Alerte urgente: vulnérabilités critiques dans Veeam Backup & Replication peut déjà permettre l'exécution de code à distance; patch

Veeam a publié des mises à jour de sécurité pour corriger plusieurs vulnérabilités critiques dans son logiciel de sauvegarde et de réplication qui, s'ils étaient utilisés, pourraient permettre l'exécution de code à distance et d'autres actions dangereuses dans les environnements de sauvegarde. Ces défauts affectent principalement la construction de la branche 12 et ont été corrigés dans les versions que l'entreprise a mises à disposition pour téléchargement, de sorte que la recommandation principale est de mettre à jour dès que possible.

La gravité des vulnérabilités est élevée et pas seulement théorique: Certains permettent aux utilisateurs authentifiés avec des permissions relativement faibles d'exécuter du code sur le serveur de sauvegarde, tandis que d'autres permettent de manipuler des fichiers dans un dépôt ou des privilèges d'échelle sur la machine qui exécute Veeam. Veeam a documenté les corrections et les informations techniques dans ses notes basées sur les connaissances; vous pouvez les consulter directement dans ses avis officiels sur les vulnérabilités et sur les pages de téléchargement des versions 12.3.2.4465 et 130.1.2067.

Parmi les échecs corrigés figurent des exemples qui méritent une attention particulière pour leur score du CVSS de près de 10, ce qui indique un impact potentiellement dévastateur sur la confidentialité, l'intégrité et la disponibilité. Ces vulnérabilités permettent, par exemple, à un utilisateur de domaine authentifié d'obtenir l'exécution à distance sur le serveur de sauvegarde, ou pour un rôle d'affichage de sauvegarde pour obtenir l'exécution en tant qu'utilisateur de la base de données post-gres. Les problèmes qui facilitent le traitement arbitraire des fichiers dans les dépôts et la levée des privilèges dans les installations Windows ont également été résolus.

Veeam souligne un point que chaque administrateur doit prendre en compte: une fois les correctifs publiés, il est courant pour les attaquants expérimentés de les analyser pour faire des exploits que les systèmes cibles qui n'ont pas encore été mis à jour. Cela rend les environnements non-patchés des cibles très attrayants et facilite le cryptage et les campagnes de vol de données comme les incidents précédents ont montré dans quels outils de sauvegarde ont été utilisés pour amplifier les attaques ransomware.

Ce n'est pas suffisant pour installer le patch et l'oublier. Avant d'appliquer des mises à jour dans les environnements de production, il est prudent de suivre un protocole qui inclut la vérification de la compatibilité avec d'autres composants de l'infrastructure et la sauvegarde de la configuration des solutions de sauvegarde elles-mêmes. Après mise à jour, il est approprié de valider que les services commencent correctement, d'examiner le journal pour une activité anormale et de surveiller le comportement des dépôts et des machines qui abritent les instances Veeam.

Si vous ne pouvez pas vous garer tout de suite, il y a une atténuation temporaire qui peut réduire les risques : restreindre l'accès au service de sauvegarde et de réplication par le biais de la segmentation du réseau et des contrôles d'accès, maintenir des privilèges minimaux dans les comptes de domaine, vérifier et limiter les rôles qu'ils peuvent utiliser sur des copies et s'assurer que les pouvoirs de gestion ne sont pas réutilisés dans d'autres systèmes. Ces mesures ne remplacent pas le patch, mais aident à gagner du temps tout en planifiant la mise à jour.

En plus des propres notes de Veeam, il est recommandé d'examiner les ressources et les guides généraux sur la façon d'atténuer Ransomware et vulnérabilités critiques. Des organismes tels que la United States Infrastructure and Cybersecurity Security Agency fournissent des conseils pratiques sur la prévention et la réponse à de telles menaces. CISA - Stop Ransomware. Pour vérifier et rechercher des détails supplémentaires sur les vulnérabilités et leur historique, le dépôt public NVD de NIST est une autre référence utile: NVD - Base de données nationale sur la vulnérabilité.

Si vous gérez un environnement qui dépend de Veeam, agissez rapidement : téléchargez et appliquez la version recommandée par le fabricant, examinez la documentation de compatibilité et les procédures de mise à jour, et adoptez des contrôles d'accès et de surveillance supplémentaires. La sécurité de l'infrastructure de secours n'est pas une question périphérique : c'est la dernière ligne de défense contre une attaque grave. Pour les informations officielles et les détails des corrections publiées par Veeam, voir le site web de l'entreprise: Corrections et notes supplémentaires et la page principale des connaissances sur ces vulnérabilités.

Si vous le souhaitez, je peux vous aider à interpréter les bulletins Veeam spécifiques pour votre version, à examiner les mesures d'atténuation à appliquer dans une topologie donnée ou à préparer un guide de mini-déploiement sûr et des vérifications post-patch adaptées à votre environnement.