Veeamは、低権限ユーザーが Veeam Backup Server 上でリモートコードを実行できる重大な脆弱性に対処するセキュリティアップデートを公開しました。
この脆弱性は CVE-2025-64393 として識別され、CVSS v4.0 のスコアは 9.4 です。2026年10月6日にリリースされた Veeam Backup & Replication バージョン 12.3.2 P4(ビルド 12.3.2.4934)で修正されました。
影響を受けるのは、バージョン 12 のビルド 12.3.2.4854 とそれ以前のすべてのビルドです。Veeamは、バージョン 13 のビルドは影響を受けないと明言しています。バックアップ環境全体で露出状況を評価するうえで、バージョンを正確に把握することが重要です。
Veeam Backup & Replication の重大な脆弱性
Veeamのアドバイザリによると、この脆弱性を悪用するには、Backup Viewer ロールが割り当てられた認証済みアカウントが必要です。原因は、Mount Service が処理する信頼できないデータの安全でないデシリアライズにあります。これにより、低権限のユーザーがバックアップサーバー上でリモートコードを実行できてしまいます。
公開されたCVSSベクターは、ネットワーク経由で攻撃が可能であること、攻撃の複雑さが低いこと、必要な権限が低いこと、ユーザーの操作が不要であることを示しています。
さらに、脆弱なシステムとその後続システムの双方で、機密性・完全性・可用性への影響が高いとされています。認証が必要であるにもかかわらず重大度が「Critical」と評価されたのは、これらの特性によるものです。
Veeamは、最初の報告がHackerOneからあったとしていますが、アドバイザリではエクスプロイトのペイロード、技術的な再現手順、悪用に使われる具体的な実行アカウントを明らかにしていません。
また、実際に悪用されたかどうかも確認していません。ただし、これらの情報が伏せられているからといって、影響を受ける環境が安全だと考えるべきではありません。
10月のアップデートでは、Cloud Connect、Enterprise Manager、バックアップサーバー上の機密データに関する3件のセキュリティ問題にも対処しています。リリースノートの重大度評価は、すべてCVSS v4.0に基づいています。
- CVE-2026-58069: 深刻度は High(8.3)。認証済みの Veeam Cloud Connect テナントが、サービスプロバイダーのホスト上の任意のファイルを読み取れる脆弱性です。Cloud Connect基盤を運用するプロバイダーにとって、別個のリスクとなります。
- CVE-2025-64392: 深刻度は Medium(4.8)。Veeam Backup Enterprise Manager における反射型クロスサイトスクリプティングの脆弱性です。被害者が細工されたリンクを開くと、攻撃者は認証済みポータルユーザーのブラウザ上でスクリプトを実行できます。
- CVE-2026-93026: 深刻度は Medium(6.1)。Backup Viewer が Enterprise Manager のマスターキーを変更または削除できるほか、バックアップサーバーに保存されたアンチウイルス更新用の認証情報を読み取ったり上書きしたりできる脆弱性です。
管理者は、コンソールのメインメニューから「Help > About」を開くと、インストール済みのビルドを確認できます。Veeamは、サポート対象の既存の 12.3.2 ビルド向けに、パッチのISOおよびEXEパッケージを提供しています。ただし、12.3.0 や 12.3.1 を含むそれ以前のリリースでは、アップグレードに完全版のインストールISOが必要です。
Enterprise Manager を導入している場合、Veeamは Backup & Replication に着手する前に、まずそのコンポーネントを更新するよう案内しています。更新後は再起動が必要になる場合があります。
Veeamは、公開された修正内容から攻撃者が脆弱性をリバースエンジニアリングする可能性があるとして、速やかなパッチ適用を促しています。また、バージョン 12 のサポートは2027年2月28日に終了する予定であることも、顧客に改めて呼びかけています。
MTTRを21分短縮し、サイバー脅威を被害が出る前に阻止します。ANYRUNのサンドボックスをSOCに統合。
翻訳元: https://gbhackers.com/critical-veeam-backup-replication-flaw/
