Veeam, ürün paketindeki birden fazla kritik güvenlik açığını ele alan yeni bir Güvenlik Bülteni yayınladı. KB Kimliği: 4649 olarak tanımlanan Veeam güvenlik bülteni, Veeam Backup & Replication, Veeam ONE, Veeam Service Provider Console, Veeam Agent for Linux, Veeam Backup for Nutanix AHV ve Veeam Backup for Oracle Linux Virtualization Manager ve Red Hat Virtualization ile ilgili güncellemeleri içeriyor.
Bu bültende ayrıntılı olarak açıklanan güvenlik sorunları, Veeam çözümlerinin güvenliğini ve işlevselliğini etkileyebilecek birkaç yüksek önem derecesine sahip güvenlik açığını vurgulamaktadır. Bu makale, Veeam güvenlik bülteni tarafından sunulan bu güncellemelere kısa bir bakış sunmaktadır.
Veeam Güvenlik Bülteni’nden Önemli Noktalar
İşte keşfedilen güvenlik açıkları ve ilgili düzeltmeleri hakkında detaylı bir bakış:
1. Veeam Yedekleme ve Çoğaltma
Veeam Backup & Replication 12.1.2.172 ve önceki sürümleri etkileyen çeşitli güvenlik açıkları bildirildi. Bu güvenlik açıkları şunları içerir:
- CVE-2024-40711: Bu kritik güvenlik açığı, kimliği doğrulanmamış uzaktan kod yürütülmesine (RCE) izin verir. CODE WHITE GmbH’den Florian Hauser tarafından keşfedilen bu güvenlik açığı, 9,8’lik bir CVSS v3.1 puanına sahiptir.
- CVE-2024-40713: Düşük ayrıcalıklı bir kullanıcının Çok Faktörlü Kimlik Doğrulama (MFA) ayarlarını değiştirmesine ve böylece MFA’yı atlatmasına olanak tanıyan yüksek önem derecesine sahip bir güvenlik açığı. CVSS v3.1 puanı 8,8’dir.
- CVE-2024-40710: Bu yüksek önem derecesine sahip güvenlik açıkları dizisi, hizmet hesabı altında uzaktan kod yürütmeye (RCE) ve hassas bilgilerin çıkarılmasına izin verir. Ayrıca CVSS v3.1 ölçeğinde 8,8 puan alır.
- CVE-2024-39718: Düşük ayrıcalıklı kullanıcıların hizmet hesabı izinleriyle sistemdeki dosyaları uzaktan silmesine izin verir. CVSS v3.1 puanı 8.1’dir.
- CVE-2024-40714: TLS sertifika doğrulamasındaki yüksek öneme sahip bir güvenlik açığı, bir saldırganın geri yükleme işlemleri sırasında hassas kimlik bilgilerini ele geçirmesine olanak tanıyabilir ve CVSS v3.1 ölçeğinde 8,3 puan almıştır.
- CVE-2024-40712: Bu yol geçiş güvenlik açığı, düşük ayrıcalıklı erişime sahip bir saldırgan için yerel ayrıcalık yükseltmesine (LPE) izin verir. CVSS v3.1 puanı 7,8’dir.
Bu sorunlara yönelik çözümler Veeam Backup & Replication sürüm 12.2’de (yapı 12.2.0.334) yer almaktadır.
2. Linux için Veeam Agent
Veeam Agent for Linux için 6.1.2.178 ve önceki sürümler şunlardan etkileniyor:
- CVE-2024-40709: Bu yüksek önem derecesine sahip güvenlik açığı, yerel ayrıcalıkların kök düzeye yükseltilmesini sağlıyor ve CVSS v3.1 ölçeğinde 7,8 puan alıyor.
Bu sorun, Veeam Backup & Replication 12.2’ye dahil olan Veeam Agent for Linux sürüm 6.2’de (yapı 6.2.0.101) çözülmüştür.
3. Veeam BİR
Veeam ONE 12.1.0.3208 ve önceki sürümler çeşitli güvenlik açıklarından etkileniyor:
- CVE-2024-42024: Hizmet hesabı kimlik bilgilerine sahip Veeam ONE Agent makinesinde uzaktan kod yürütülmesine izin verir. CVSS v3.1 puanı 9.1’dir.
- CVE-2024-42019: Veeam Reporter Service hesabının NTLM karma değerine erişim izni verir ve kullanıcı etkileşimi gerektirir. CVSS v3.1 ölçeğinde 9.0 puan alır.
- CVE-2024-42023: Düşük ayrıcalıklı kullanıcıların Yönetici ayrıcalıklarıyla uzaktan kod yürütmesine olanak tanır; önem derecesi 8,8’dir.
- CVE-2024-42021: Geçerli erişim belirteçlerine sahip saldırganların kayıtlı kimlik bilgilerine erişmesine olanak tanır ve CVSS v3.1 ölçeğinde 7,5 puan alır.
- CVE-2024-42022: Ürün yapılandırma dosyalarının değiştirilmesine izin verir, ayrıca 7.5 puan alır.
- CVE-2024-42020: Reporter Widgets’ta HTML enjeksiyonu güvenlik açığı, puanı 7.3.
Bu güvenlik açıkları Veeam ONE v12.2’de (derleme 12.2.0.4093) giderilmektedir.
4. Veeam Servis Sağlayıcı Konsolu
Veeam Service Provider Console (VSPC) 8.0.0.19552 ve önceki sürümler şunlarla tespit edildi:
- CVE-2024-38650: Düşük ayrıcalıklı saldırganların VSPC sunucusundaki servis hesabının NTLM özetine erişmesine izin veren kritik bir güvenlik açığı, CVSS v3.1 ölçeğinde 9,9 puan almıştır.
- CVE-2024-39714: Düşük ayrıcalıklı kullanıcıların keyfi dosyaları yüklemesine izin verir ve bu da VSPC sunucusunda uzaktan kod yürütülmesine yol açar. Bu sorun da 9,9 puan alır.
- CVE-2024-39715: CVE-2024-39714’e benzer ancak REST API erişimi yoluyla gerçekleşir ve 8,5’lik yüksek bir önem puanına sahiptir.
- CVE-2024-38651: Düşük ayrıcalıklı kullanıcıların dosyaların üzerine yazmasına ve uzaktan kod yürütülmesine olanak tanır; CVSS v3.1 puanı 8,5’tir.
Düzeltmeler Veeam Service Provider Console v8.1’e (derleme 8.1.0.21377) dahildir.
5. Nutanix AHV ve Diğer Eklentiler için Veeam Backup
Veeam Backup for Nutanix AHV Eklentisi 12.5.1.8 ve önceki sürümleri ile Veeam Backup for Oracle Linux Sanallaştırma Yöneticisi ve Red Hat Sanallaştırma Eklentisi 12.4.1.45 şunlardan etkileniyor:
- CVE-2024-40718: CVSS v3.1 ölçeğinde 8,8’lik bir önem puanına sahip olan bir SSRF güvenlik açığı aracılığıyla yerel ayrıcalık yükseltmesine izin verir.
Bu sorunlar, her ikisi de Veeam Backup & Replication 12.2’ye dahil olan Veeam Backup for Nutanix AHV Eklentisi v12.6.0.632 ve Veeam Backup for Oracle Linux Sanallaştırma Yöneticisi ve Red Hat Sanallaştırma Eklentisi v12.5.0.299’da çözülmüştür.
Çözüm
Bu kapsamlı Veeam Güvenlik Bülteni, birden fazla Veeam ürünü için kritik güncellemeleri ve düzeltmeleri ana hatlarıyla açıklamaktadır. Kullanıcıların bu güvenlik açıklarını azaltmak için Veeam Backup & Replication, Veeam Agent for Linux, Veeam ONE, Veeam Service Provider Console ve diğer ilgili ürünlerin en son sürümlerine güncelleme yapmaları önerilir.
Potansiyel tehditlere karşı korunmak ve veri koruma çözümlerinin bütünlüğünü sağlamak için düzenli güncellemeler ve dikkatli güvenlik uygulamaları önemli olmaya devam ediyor.