Múltiples vulnerabilidades en productos de Veeam

Veeam ha publicado actualizaciones de seguridad que corrigen 4 vulnerabilidades en Veeam Backup & Replication y Veeam Agent for Linux: 1 crítica, 1 alta y 2 medias, comunicadas a través de HackerOne.

La más grave permite a un atacante sin cuenta ni contraseña saltarse los controles de acceso de un servicio del servidor de copias de seguridad. Aunque por ahora no consta explotación activa, una vez publicado un parche los atacantes suelen analizarlo para atacar las instalaciones que no se han actualizado.

Productos afectados

• Veeam Backup & Replication para Windows y Veeam Software Appliance:
  
  • 13.1.1.18 y anteriores de la rama 13.1.
  • 13.0.2.29 y anteriores de la rama 13.0.
• Veeam Agent for Linux: 13.1.1.4 y anteriores de la rama 13.1, solo en instalaciones gestionadas desde Veeam Backup & Replication.

No están afectadas las versiones 12.x de Backup & Replication ni las ramas 13.0.x y 6.x de Agent for Linux.

Vulnerabilidades identificadas

• CVE-2026-108142 → Omisión de autorización sin autenticación en el servicio CDP Coordinator 🔴 Crítica
• CVE-2026-105477 → Escalada local de privilegios en Veeam Agent for Linux 🟠 Alta
• CVE-2026-108140 → Escritura de archivos en ubicaciones no autorizadas del servidor de copias 🟡 Media
• CVE-2026-108141 → Escritura de archivos en ubicaciones no autorizadas del servidor de copias 🟡 Media

¿Qué podría hacer un atacante?

• CVE-2026-108142: sin necesidad de credenciales, podría saltarse las restricciones de acceso a CDP Coordinator, el servicio que coordina la protección continua de datos, y usar funciones reservadas a usuarios autorizados.
• CVE-2026-108140 y CVE-2026-108141: un usuario con permisos para restaurar copias que además controle una carpeta compartida NAS incluida en los backups podría escribir archivos en rutas no autorizadas del servidor y alterar su contenido.
• CVE-2026-105477: un usuario con acceso a un equipo Linux con el agente afectado podría obtener permisos superiores a los asignados.

¿Por qué es importante?

El servidor de backup es la última línea de defensa ante un ransomware. Si un atacante lo compromete, puede manipular o destruir las copias y dejar a la empresa sin capacidad de recuperación. Por eso Veeam es un objetivo habitual de los grupos de ransomware.

Solución

Instalar las versiones corregidas según la rama instalada:

• Veeam Backup & Replication 13.1.2 (build 13.1.2.57) o 13.0.3 (build 13.0.3.63).
• Veeam Agent for Linux 13.1.2 (build 13.1.2.11).

Recomendaciones del SOC de Infordisa

• Aplicar el parche lo antes posible, priorizando los servidores de Backup & Replication.
• No exponer los servidores de backup a Internet y aislarlos en un segmento de red propio.
• Revisar qué usuarios tienen el rol de restauración (Restore Operator) y limitarlo a lo imprescindible.
• Mantener al menos una copia inmutable o desconectada (regla 3-2-1-1-0).
• Revisar los registros de acceso en busca de actividad inusual.

Si utilizas Veeam y necesitas ayuda para comprobar tu versión o aplicar la actualización, el equipo de Infordisa puede ayudarte.

Referencias:

• INCIBE-2026-805
• Veeam KB4948: Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2
• Veeam KB4738: Release Information for Veeam Backup & Replication 13 and Updates