CVE-2024-29849: La copia de seguridad a través de Veeam se ha vuelto insegura

Veeam insta a todos los usuarios de Veeam Backup Enterprise Manager a actualizar el software a la última versión debido a una vulnerabilidad crítica descubierta que permite a los atacantes eludir los controles de autenticación.

Veeam Backup Enterprise Manager es una solución centralizada para administrar copias de seguridad en la infraestructura Veeam. Proporciona una única interfaz web para monitorear, generar informes y administrar trabajos de copia de seguridad, replicación y restauración.

La plataforma permite al administrador gestionar fácilmente copias de seguridad a gran escala, buscar y restaurar archivos individuales, así como administrar los permisos de acceso de usuarios y grupos. Además, Veeam Backup Enterprise Manager simplifica la administración y mejora la eficiencia del manejo de datos en entornos de TI grandes.

La vulnerabilidad, identificada como CVE-2024-29849 y con una puntuación CVSS de 9.8, permite a un atacante no autorizado iniciar sesión en la interfaz web de Veeam Backup Enterprise Manager como cualquier usuario.

La compañía también informó sobre otras tres vulnerabilidades que afectan al mismo producto:

1. CVE-2024-29850 (puntuación CVSS: 8.8) permite la suplantación de cuentas a través de NTLM relay.
2. CVE-2024-29851 (puntuación CVSS: 7.2) permite a un usuario privilegiado robar hashes NTLM de la cuenta de servicio si no está configurada para ejecutarse desde la cuenta del sistema.
3. CVE-2024-29852 (puntuación CVSS: 2.7) permite a un usuario privilegiado leer registros de sesiones de copia de seguridad.

Todas estas vulnerabilidades se corrigieron en la versión 12.1.2.172. Es importante destacar que la instalación de Veeam Backup Enterprise Manager no es obligatoria y los entornos donde no está instalado no son vulnerables a estas vulnerabilidades.

En las últimas semanas, la compañía también abordó una vulnerabilidad de elevación de privilegios local en Veeam Agent for Windows (CVE-2024-29853, puntuación CVSS: 7.2) y una vulnerabilidad crítica de ejecución remota de código en Veeam Service Provider Console (CVE-2024-29212, puntuación CVSS: 9.9).

Según Veeam, la vulnerabilidad CVE-2024-29212 está relacionada con un método inseguro de deserialización utilizado por el servidor Veeam Service Provider Console (VSPC) al interactuar con el agente de administración y sus componentes, lo que bajo ciertas condiciones permite la ejecución remota de código en el servidor VSPC.

Las vulnerabilidades en el software Veeam Backup & Replication (CVE-2023-27532, puntuación CVSS: 7.5) ya han sido explotadas por grupos como FIN7 y Cuba para distribuir malware, incluido ransomware, lo que subraya la importancia de aplicar las actualizaciones rápidamente.