Las empresas Veeam y IBM han lanzado actualizaciones de seguridad para abordar dos fallas críticas que afectan a sus productos. La primera se relaciona con el software de Backup & Replication de Veeam, mientras que la segunda involucra al sistema operativo AIX de IBM.
Vulnerabilidad en Veeam
La compañía Veeam ha publicado correcciones para una vulnerabilidad crítica identificada como CVE-2025-23120. Esta falla permite la ejecución remota de código (RCE) por parte de usuarios autenticados en el dominio. La vulnerabilidad tiene una puntuación CVSS de 9,9 sobre 10 y afecta a todas las versiones 12.x del producto.
El investigador Piotr Bazydlo, de watchTowr, descubrió la falla y reportó su existencia. La solución se incluye en la versión 12.3.1 (compilación 12.3.1.1139). Según el informe, la vulnerabilidad surge del manejo inconsistente de la deserialización en Veeam. Esto permite que una clase permitida abra camino a una deserialización interna que implementa un enfoque basado en una lista bloqueada.
Los investigadores afirman que un atacante podría aprovechar dispositivos de deserialización no incluidos en la lista negra, como Veeam.Backup.EsxManager.xmlFrameworkDs y Veeam.Backup.Core.BackupSummary, para lograr la ejecución remota de código. Además, cualquier usuario del dominio puede explotar esta vulnerabilidad si el servidor está unido a él.
El parche presentado por Veeam añade estos dispositivos a la lista de bloqueo existente. Sin embargo, esto significa que la solución podría volver a ser susceptible a riesgos similares si se descubren otros dispositivos viables para deserialización.
Práctica recomendada
La buena noticia es que la falla solo afecta a las instalaciones de Veeam Backup & Replication unidas a un dominio. La mala noticia es que cualquier usuario del dominio puede explotar esta vulnerabilidad, lo que la hace fácilmente explotable en esas configuraciones.
Para una implementación más segura, se recomienda agregar los componentes de Veeam a un dominio de administración ubicado en un bosque de Active Directory independiente y proteger las cuentas administrativas con autenticación de dos factores. De esta forma, Veeam Availability Infrastructure no depende del entorno que debe proteger.
Vulnerabilidades en IBM AIX
IBM también ha publicado correcciones para dos errores críticos en su sistema operativo AIX. Estas vulnerabilidades afectan a las versiones 7.2 y 7.3 del producto.
- CVE-2024-56346 (puntuación CVSS: 10.0): Una vulnerabilidad de control de acceso inadecuado que podría permitir a un atacante remoto ejecutar comandos arbitrarios a través del servicio maestro NIM Nimesis de AIX.
- CVE-2024-56347 (puntuación CVSS: 9.6): Una vulnerabilidad de control de acceso inadecuado que podría permitir a un atacante remoto ejecutar comandos arbitrarios a través del mecanismo de protección SSL/TLS del servicio Nimsh de AIX.
Aunque no hay evidencia de que ninguna de estas fallas críticas haya sido explotada de forma activa, se recomienda a los usuarios que apliquen rápidamente los parches necesarios para protegerse contra posibles amenazas.