Veeam heeft beveiligingsupdates vrijgegeven om een kritieke beveiligingsfout aan te pakken die van invloed is op zijn back -up- en replicatiesoftware die kan leiden tot externe code -uitvoering.
De kwetsbaarheid, gevolgd als CVE-2025-23120draagt een CVSS -score van 9,9 van de 10.0. Het treft 12.3.0.310 en alle eerdere versie 12 builds.
“Een kwetsbaarheid die externe code -uitvoering (RCE) mogelijk maakt door geverifieerde domeingebruikers,” zei het bedrijf in een advies die woensdag werd vrijgegeven.
Beveiligingsonderzoeker Piotr Bazydlo van Watchtowr is gecrediteerd voor het ontdekken en rapporteren van de fout, die is opgelost in versie 12.3.1 (build 12.3.1.1139).
Volgens Bazydlo en onderzoeker SINA Kheirkhah komt CVE-2025-23120 voort uit Veeams inconsistente afhandeling van het deserialisatiemechanisme, waardoor een toegestane klasse van toegestane list wordt veroorzaakt die kan worden gedeserialiseerd om de weg te effenen voor een innerlijke deserialisatie die een blocklist-gebaseerde benadering implementeert die de derialisatie van data van het bedrijf kan voorkomen.
Dit betekent ook dat een dreigingsacteur een deserialisatiegadget kan benutten die ontbreekt in de blocklist – namelijk veeam.backup.esxmanager.xmlframeworkds en veeam.backup.core.backupsummary – om externe code -uitvoering te bereiken.
“Deze kwetsbaarheden kunnen worden benut door elke gebruiker die tot de lokale gebruikersgroep op de Windows -host van uw Veeam -server behoort,” zeiden de onderzoekers. “Beter nog – als u zich bij uw server hebt aangesloten bij het domein, kunnen deze kwetsbaarheden worden benut door een domeingebruiker.”
De patch geïntroduceerd door Veeam voegt de twee gadgets toe aan de bestaande blocklist, wat betekent dat de oplossing opnieuw vatbaar kan worden gemaakt voor vergelijkbare risico’s als andere haalbare deserialisatiegadgets worden ontdekt.
De ontwikkeling komt wanneer IBM fixes heeft verzonden om twee kritische bugs in zijn AIX -besturingssysteem te verhelpen die de uitvoering van de commando mogelijk kunnen maken.
De lijst met tekortkomingen, die van invloed zijn op AIX -versies 7.2 en 7.3, is hieronder –
- CVE-2024-56346 (CVSS -score: 10.0) – Een onjuiste kwetsbaarheid voor toegangscontrole die een externe aanvaller in staat zou kunnen stellen om willekeurige opdrachten uit te voeren via de AIX Nimesis NIM Master Service
- CVE-2024-56347 (CVSS -score: 9.6) – Een onjuiste kwetsbaarheid voor toegangscontrole die een externe aanvaller in staat zou kunnen stellen om willekeurige opdrachten uit te voeren via de AIX Nimsh Service SSL/TLS -beveiligingsmechanisme
Hoewel er geen bewijs is dat een van deze kritische gebreken in het wild is benut, wordt gebruikers geadviseerd om snel te bewegen om de benodigde patches toe te passen om te beveiligen tegen potentiële bedreigingen.
