Veeam Backup & Replicationで複数のコード実行の脆弱性が修正

Veeamは火曜日、同社のBackup & Replicationソリューション向けにリリースした更新により、リモートコード実行に悪用可能な複数の脆弱性が修正されたと発表した。 

セキュリティ上の欠陥はVeeam Backup & Replication 13.0.1.180以前に影響し、バージョン13.0.1.1071のリリースで修正された。

脆弱性の一つであるCVE-2025-59470は、「backup」または「tape operator」の権限を持つ攻撃者が、特別に細工されたパラメータを利用することで、「postgres」ユーザーとしてリモートコード実行を行える。

この欠陥はCVSSスコアに基づくと重大（critical）な深刻度だが、悪用に必要なロールが高い権限を要するものと見なされるため、Veeamは深刻度を高（high）に調整した。 

CVE-2025-55125にも高（high）の深刻度評価が付与されており、「tape operator」または「backup」の権限を持つ攻撃者が、悪意のあるバックアップ構成ファイルを用いてrootとして任意のコードを実行できる。

別の高深刻度の問題であるCVE-2025-59469も同種の権限を必要とし、攻撃者がrootとしてシステムにファイルを書き込める。

最後の脆弱性であるCVE-2025-59468は、「backup administrator」の権限を持つ攻撃者がリモートコード実行を行える。

これらの脆弱性はすべてVeeamによって社内で発見されたもので、実環境で悪用された兆候はない。

しかし、脅威アクターが攻撃でVeeam Backup & Replicationを標的にすることは珍しくないため、組織がこれらの欠陥に対処することは重要だ。

CISAの既知の悪用済み脆弱性（KEV）カタログには、近年この製品で見つかった4つの弱点が含まれており、その中にはランサムウェア攻撃で悪用されたCVE-2024-40711およびCVE-2023-27532が含まれる。