內容:

近期，Veeam Backup Enterprise Manager 用戶已被提醒盡快更新至最新版本，因為發現了一個可能允許攻擊者繞過身份驗證保護的關鍵安全漏洞。
 
此漏洞編號為 CVE-2024-29849（CVSS 評分：9.8），可能允許未經驗證的攻擊者以任何使用者身分登入 Veeam Backup Enterprise Manager Web 介面，從而對系統構成重大威脅。
 
此外，該公司還披露了影響同一產品的其他三個漏洞：
 

• CVE-2024-29850**（CVSS 評分：8.8）：允許通過 NTLM 中繼進行帳戶接管。
• CVE-2024-29851**（CVSS 評分：7.2）：如果 Veeam Backup Enterprise Manager 服務帳戶未配置為預設的本地系統帳戶，則允許特權使用者竊取該帳戶的 NTLM 雜湊值。
• ​CVE-2024-29852**（CVSS 評分：2.7）：允許特權使用者讀取備份會話日誌。

 
所有這些漏洞均已在版本 12.1.2.172 中得到修復。不過，Veeam 指出，部署 Veeam Backup Enterprise Manager 是可選的，未安裝該產品的環境不會受到這些漏洞的影響。
 
在最近幾週，該公司還解決了以下安全問題：
 

• CVE-2024-29853**（CVSS 評分：7.2）：影響 Veeam Agent for Windows 的本地權限提升漏洞。
• CVE-2024-29212**（CVSS 評分：9.9）：影響 Veeam 服務提供者控制台的關鍵遠端程式碼執行漏洞。Veeam 表示，由於 VSPC 伺服器在管理代理與其元件之間的通訊中使用不安全的反序列化方法，在某些條件下，這可能導致在 VSPC 伺服器上執行遠端程式碼。

新聞來源：https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11092&mod=1
發布日期：2023-05-23