Veeam ha lanzado actualizaciones de seguridad para corregir dos vulnerabilidades encontradas en la plataforma Service Provider Console (VSPC). Una de ellas, identificada como CVE-2024-42448, es una falla de ejecución remota de código (RCE) crítica descubierta durante una prueba interna. La otra vulnerabilidad, con el identificador CVE-2024-42449, permite a los atacantes robar el hash NTLM de la cuenta de servicio del servidor VSPC y utilizarlo para eliminar archivos en dicho servidor.
Descripción de la plataforma VSPC
VSPC es descrita por Veeam como una plataforma BaaS (Backend como Servicio) y DRaaS (Recuperación ante Desastres como Servicio), administrada de forma remota. Esta herramienta se utiliza para que los proveedores de servicios puedan monitorear el estado y la seguridad de las copias de seguridad de sus clientes, así como gestionar sus cargas de trabajo virtuales, de Microsoft 365 y de nube pública protegidas por Veeam.
Detalles de las vulnerabilidades corregidas
La primera falla permitiría a los atacantes ejecutar código arbitrario en servidores sin parches desde la máquina del agente de administración de VSPC. La segunda vulnerabilidad, de alta gravedad, podría facilitar el robo del hash NTLM de la cuenta de servicio del servidor VSPC y permitir la eliminación de archivos en dicho servidor.
Según un aviso de seguridad publicado por Veeam, estas dos vulnerabilidades solo pueden ser explotadas con éxito si el agente de administración está autorizado en el servidor de destino.
Afectación y recomendaciones
Las fallas afectan a versiones 8.1.0.21377 y todas las versiones anteriores, incluidas las compilaciones 8 y 7. Las versiones de productos no compatibles también se ven afectadas y «deberían considerarse vulnerables», aunque no se hayan probado.
Veeam recomienda a los proveedores de servicios que utilizan versiones compatibles de VSPC (versiones 7 y 8) actualizar al último parche acumulativo. A quienes usen versiones no compatibles, se les recomienda encarecidamente actualizar a la última versión de VSPC.
Contexto de vulnerabilidades previas
La reciente explotación de vulnerabilidades en productos de Veeam ha demostrado la importancia de aplicar parches a los servidores vulnerables lo antes posible. Como revelaron los responsables de la respuesta a incidentes de Sophos X-Ops el mes pasado, una falla de RCE (CVE-2024-40711) en el software Backup & Replication (VBR) de Veeam, divulgada en septiembre, ahora se está explotando para implementar el ransomware Frag. La misma vulnerabilidad también se utiliza en ataques de ransomware Akira y Fog.