Veeam yedekleme ve çoğaltma yazılımında kritik bir güvenlik açığı açıklanmış ve kullanıcılar için önemli bir risk oluşturmaktadır.
CVE-2025-23120 olarak tanımlanan bu güvenlik açığı, kimlik doğrulamalı alan kullanıcıları tarafından Uzaktan Kod Yürütülmesine (RCE) izin verir.
Bu sorunun şiddeti, 9.9’luk bir CVSS V3.1 skoru ile vurgulanmaktadır ve bu da yüksek bir risk seviyesine işaret etmektedir.
Güvenlik açığı aşağıdaki gibi ilgili ayrıntılarla belgelenmiştir: Veeam Yedekleme ve Çoğaltma sürümleri 12, 12.1, 12.2 ve 12.3’ü etkiler.
Bu konu, Güvenlik Sorunları’nın belirlenmesinde ve ele alınmasında toplum katılımının önemini vurgulayan Watchtowr’dan Piotr Bazydlo tarafından bildirildi.
Etkilenen ürün
| Ürün adı | CVE | Etkilenen sürümler |
|---|---|---|
| Veeam yedekleme ve çoğaltma | CVE-2025-23120 | 12, 12.1, 12.2, 12.3 |
Bu güvenlik açığı, güvenlik ve uyumluluk en iyi uygulamalarıyla çelişen alanda birleştirilmiş yedekleme sunucularını özellikle etkiler.
Kuruluşlar, potansiyel riskleri azaltmak için sistemlerinin bu şekilde yapılandırılmamasını sağlamalıdır.
CVE-2025-23120, kimliği doğrulanmış etki alanı kullanıcılarının kötü amaçlı kod kodunu uzaktan yürütmesine izin verir. Bu güvenlik açığı seviyesi, istismar edilirse önemli güvenlik ihlallerine yol açabilir.
Kimlik doğrulanmış kullanıcılar tarafından tetiklenebileceği göz önüne alındığında, etki alanı erişiminin sıkı bir şekilde kontrol edilmediği ortamlar için risk artar.
Güvenlik açığı, Watchtowr’dan Piotr Bazydlo tarafından bildirildi ve güvenlik sorunlarının belirlenmesinde ve ele alınmada toplum katılımının önemini vurguladı.
Çözüm
Güvenlik açığı son güncellemede ele alınmıştır. Bu riski azaltmak için kullanıcıların Veeam Backup & Replication sürüm 12.3.1’e (oluşturma 12.3.1.1139) yükseltmeleri istenir.
Tüm kullanıcıların, özellikle de yazılımın önceki sürümlerini çalıştıranların bu güncellemeyi mümkün olan en kısa sürede uygulaması şarttır.
Veeam yazılımı, proaktif önlemlerle müşteri güvenliğine olan bağlılığını vurgulamaktadır. Bunlar bir güvenlik açığı açıklama programı (VDP) ve titiz dahili kod denetimlerini içerir.
Şirketin güvenlik açıklarını ifşa etme ve azaltma tavsiyesi sağlama konusundaki şeffaflığı, müşterilerin potansiyel tehditlere karşı korunmasına yardımcı olur.
Bu kritik güvenlik açığı ışığında, kuruluşların güncellemelere öncelik vermeleri ve sistemlerinin güvenli kalmasını sağlamak için en iyi uygulamaları takip etmeleri zorunludur.
Güvenlik açıkları açıklandıktan sonra, saldırganlar genellikle eşleştirilmemiş sistemlerden yararlanmaya çalışır ve bu da zamanında yama uygulamasını çok önemli hale getirir.
Investigate Real-World Malicious Links & Phishing Attacks With Threat Intelligence Lookup - Try for Free