Taula de continguts
Veeam ha publicat una nova versió de Veeam Management Pack per a Microsoft System Center que corregeix 3 vulnerabilitats: 1 crítica i 2 altes, detectades pel propi fabricant a les seves proves internes.
És la segona alerta de Veeam en menys d'una setmana. El 30 d'octubre passat ja vam avisar de 4 vulnerabilitats a Veeam Backup & Replication i Veeam Agent for Linux, una crítica. Si utilitzes Veeam, convé revisar tots dos avisos junts.
La vulnerabilitat més greu permet a un atacant sense compte ni contrasenya executar codi a distància al servidor afectat. Ara com ara no consta explotació activa, però Veeam recorda que, un cop publicat un pegat, els atacants solen analitzar-lo per atacar les instal·lacions que no s'han actualitzat.
A qui afecta?
Veeam Management Pack integra Veeam amb Microsoft System Center Operations Manager (SCOM) per monitoritzar la infraestructura virtual (VMware vSphere, Hyper-V) i els servidors de còpies de seguretat. El fan servir sobretot empreses mitjanes i grans que gestionen els seus sistemes amb SCOM.
Productes afectats
- Veeam Management Pack per a Microsoft System Center 9.1 i totes les compilacions anteriors de la branca 9, incloses les que tenen instal·lat el pegat de compatibilitat amb Veeam Backup & Replication 13.
Les versions sense suport no s'han provat, però Veeam indica que cal considerar-les vulnerables.
Vulnerabilitats identificades
- CVE-2023-22793 → Execució remota de codi sense autenticació al servei Veeam Virtualization Extensions 🔴 Crítica (CVSS 9.3)
- CVE-2026-107239 → Execució remota de codi al servei Col·lector per membres del grup Veeam Virtualization Extensions Users 🟠 Alta (CVSS 8.8)
- CVE-2026-107238 → Execució remota de codi com a LocalSystem al servei Collector per qualsevol usuari del domini 🟠 Alta (CVSS 8.7)
Què podria fer un atacant?
- CVE-2023-22793: sense credencials, podeu executar instruccions als servidors que tinguin el servei Veeam Virtualization Extensions i prendre el control de l'equip.
- CVE-2026-107238: n'hi ha prou amb qualsevol compte del domini, per exemple la d'un empleat les credencials del qual hagin estat robades amb phishing, per executar codi amb el màxim nivell de privilegis (LocalSystem) al servidor del Col·lector.
- CVE-2026-107239: un usuari del grup Veeam Virtualization Extensions Users podria executar codi als servidors amb el servei Collector.
Per què és important?
Els servidors de monitorització tenen visibilitat i connexió amb bona part de la infraestructura: hipervisors, servidors i la plataforma de backup. Comprometre'ls dóna a l'atacant un punt de suport ideal per moure's per la xarxa i arribar fins a les còpies de seguretat, l'objectiu prioritari dels grups de ransomware.
Solució
- Actualitzar a Veeam Management Pack per a Microsoft System Center 13.1 (build 13.1.0.334).
- Veeam no publicarà correcció per a la branca 9.x, per la qual cosa cal migrar a la versió 13.1.
Recomanacions del SOC d'Infordisa
- Migrar a la versió 13.1 com més aviat millor; seguir a la branca 9.x implica quedar-se vulnerable de forma permanent.
- Si no podeu actualitzar immediatament, restringir l'accés de xarxa als servidors amb els serveis Veeam Virtualization Extensions i Collector només als equips d'administració.
- Revisar els membres del grup Veeam Virtualization Extensions Users i deixar només els imprescindibles.
- Aplicar el principi de mínim privilegi a System Center i reforçar els comptes de domini amb MFA.
- Comproveu també que Veeam Backup & Replication està actualitzat segons la nostra alerta anterior.
- Revisar els registres dels servidors afectats a la recerca dactivitat inusual.
Si utilitzeu Veeam i necessiteu ajuda per comprovar la vostra versió o planificar la migració, l'equip d'Infordisa us pot ajudar.
