Veeam hefur tilkynnt um veikleika í Veeam Backup and Replication hubúnaði sem
gefur óauðkenndum aðila færi á að nálgast dulkóðuð lykilorð í gagnagrunni [1].
Lykilorðið er síðan hægt að nota til að komast inn á annan tengdan Veeam búnað
(e. … may lead to gaining access to the backup infrastructure hosts).
Veikleikinn hefur fengið númerið CVE-2023-27532 og er með CVSS skor 7.5.
Veikleikinn á við allar útgáfur af Veeam Backup and Replication, veikleikinn
hefur verið lagfærður í útgáfu 12 (e. build 12.0.0.1420 P20230223)[2] og í
útgáfu 11a (e. build 11.0.1.1261 P20230227)[3].
Nánari leiðbeiningar er að finna í tilkynningu frá Veeam [1], meðal annars
um mögulegar aðferðir til að komast fram hjá veikleikanum án þess að uppfæra
(e. workaround) og nánari upplýsingar um hvernig þarf að standa að uppfærslum.
CERT-IS mælir með að uppfæra án tafa og fara eftir ráðleggingum frá viðkomandi
framleiðanda.
Tilvísanir:
[1] https://www.veeam.com/kb4424
[2] https://www.veeam.com/kb4420?ad=in-text-link
[3] https://www.veeam.com/kb4245?ad=in-text-link
