Summary
De kwetsbaarheden betreffen meerdere softwarecomponenten van Veeam ONE, waaronder agents en services die met verhoogde privileges draaien, evenals systemen die rapporten delen via gedeelde links en backend databases gebruiken.
Details
Interpretaties
De kwetsbaarheden maken het mogelijk dat gebruikers met verschillende privilege-niveaus of zelfs onbevoegde aanvallers acties uitvoeren die normaal niet toegestaan zijn. Dit omvat het uitvoeren van willekeurige code op servers of agent hosts, het lezen van arbitraire bestanden zonder authenticatie, het omzeilen van toegangscontroles op gedeelde rapportlinks, het uitvoeren van SQL-injectieaanvallen op backend databases, en het lokaal verhogen van privileges binnen specifieke servicecontexten zoals de Reporter service. Exploitatie kan leiden tot ongeautoriseerde toegang tot gevoelige data, manipulatie van systemen, en volledige compromittering van de getroffen systemen. Sommige kwetsbaarheden vereisen lokale toegang, terwijl andere op afstand en zonder authenticatie kunnen worden misbruikt.
Oplossingen
Veeam heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 6
-
Critical 10.0CVE-2026-64633 Public exploit
A vulnerability allowing remote unauthenticated code execution on the agent host.
-
High 8.7
A vulnerability allowing an unauthenticated attacker to read arbitrary files from the host, which can be further levera…
-
High 8.6
A vulnerability allowing a high-privileged user to execute arbitrary code on the server.
-
High 8.6
A vulnerability allowing a low-privileged user to inject SQL and extract database contents.
-
High 8.4
A vulnerability allowing local privilege escalation to the Reporter service context.
-
Medium 5.3
A vulnerability allowing a low-privileged user to retrieve report data outside the scope of a shared report link.
Revision history
-
#1.0.0
Initiele versie
References
-
Reference
https://www.veeam.com/kb4892