Se ha identificado una vulnerabilidad crítica en el software Veeam Backup Enterprise Manager (VBEM), conocida como CVE-2024-29849, que permite a atacantes remotos iniciar sesión en la interfaz web del sistema sin autenticación. Se encuentra disponible un exploit de prueba de concepto (PoC) para esta falla, lo cual exige una acción inmediata por parte de los administradores.
Descripción de la vulnerabilidad
Veeam Backup Enterprise Manager es una plataforma web que permite gestionar instalaciones de Veeam Backup & Replication a través de una consola centralizada. Facilita el control de trabajos de respaldo y operaciones de restauración en infraestructuras de respaldo organizacionales, así como en implementaciones a gran escala.
La vulnerabilidad crítica permite que un atacante remoto no autenticado inicie sesión en la interfaz web de VBEM como cualquier usuario. Veeam emitió un boletín de seguridad el 21 de mayo, advirtiendo sobre esta brecha y recomendando a los clientes aplicar las últimas actualizaciones de seguridad.
Recomendación de parche
Veeam instó a sus usuarios a actualizar VBEM a la versión 12.1.2.172 para resolver el problema. Para quienes no puedan aplicar la actualización inmediatamente, se recomienda seguir medidas de mitigación.
Detalles técnicos del exploit
El ataque se basa en un servicio denominado Veeam.Backup.Enterprise.RestAPIService.exe, que escucha en el puerto TCP 9398 y actúa como servidor API REST para la aplicación web principal. El exploit implica enviar un token de inicio de sesión único (SSO) de VMware especialmente diseñado al servicio vulnerable mediante la API de Veeam.
El token contiene una solicitud de autenticación que se hace pasar por un usuario administrador y una URL de servicio SSO no verificada por Veeam. El token codificado en base64 se decodifica e interpreta en formato XML para verificar su validez mediante una solicitud SOAP a una URL controlada por el atacante.
El servidor fraudulento configurado por el atacante responde positivamente a las solicitudes de validación, lo que hace que Veeam acepte la autenticación y otorgue acceso de administrador al atacante.
Medidas de mitigación
Aunque no se ha reportado ninguna explotación real de CVE-2024-29849, la disponibilidad pública del exploit podría facilitar su uso en poco tiempo. Por ello, es fundamental actualizar a la versión 12.1.2.172 o posterior lo antes posible.
Para quienes no puedan parchear inmediatamente, se recomienda:
- Limitar el acceso a la interfaz web de VBEM restringiendo el acceso a direcciones IP confiables.
- Implementar reglas de firewall para bloquear el acceso no autorizado a los puertos utilizados por Veeam, como el puerto 9398.
- Habilitar la autenticación multifactor para todas las cuentas que acceden a VBEM.
- Implementar un firewall de aplicaciones web para detectar y bloquear solicitudes maliciosas dirigidas a VBEM.
- Supervisar y auditar periódicamente los registros de acceso, configurando alertas para intentos de inicio de sesión desde direcciones IP no confiables.
- Aíslar el servidor VBEM de otros sistemas críticos dentro de la red para contener el riesgo de movimiento lateral.
El exploit proporcionado demuestra todos los pasos necesarios para explotar la vulnerabilidad, incluida la configuración de un servidor de devolución de llamada, el envío del token diseñado y la recuperación de una lista de servidores de archivos como prueba de una explotación exitosa.