Veeam ha alertado a sus clientes sobre la existencia de una vulnerabilidad crítica que permite a atacantes no autenticados iniciar sesión en cualquier cuenta mediante la interfaz web de Veeam Backup Enterprise Manager (VBEM). Esta vulnerabilidad, identificada como CVE-2024-29849, tiene un CVSS de 9,8/10.
VBEM es una plataforma basada en web que permite a los administradores gestionar las instalaciones de Veeam Backup & Replication desde una única consola. Facilita el control de trabajos de respaldo y la realización de operaciones de restauración en toda la infraestructura de respaldo de una organización, especialmente en implementaciones a gran escala.
Es importante destacar que VBEM no está habilitado por defecto y no todos los entornos son susceptibles a ataques que explotan esta vulnerabilidad. La empresa ha lanzado un parche para corregir este error, disponible en la versión 12.1.2.17 de VBEM.
Los administradores que no pueden actualizar inmediatamente aún pueden mitigar el riesgo deteniendo y deshabilitando los servicios VeeamEnterpriseManagerSvc y VeeamRESTSvc. Además, si VBEM no está en uso actualmente, se puede desinstalar siguiendo las instrucciones proporcionadas por Veeam.
Otras vulnerabilidades corregidas
Veeam también ha parcheado otras dos vulnerabilidades de alta gravedad relacionadas con VBEM:
- CVE-2024-29850 (Alta 8,8): permite la toma de cuentas a través de retransmisión NTLM.
- CVE-2024-29851 (Alta 7,2): permite a usuarios con altos privilegios robar el hash NTLM de la cuenta de servicio Veeam Backup Enterprise Manager si esta no es la cuenta predeterminada del sistema local.
- CVE-2024-29852 (Baja 2,7): permite a usuarios con altos privilegios leer registros de sesiones de respaldo en Veeam Agent para Windows (VAW).
- CVE-2024-29853 (Alta 7,8): permite la escalamiento de privilegios locales en Veeam Agent para Microsoft Windows.
Vulnerabilidades anteriores relacionadas con ransomware
En marzo de 2023, Veeam corrigió una vulnerabilidad de alta gravedad (CVE-2023-27532) en su software de copia de seguridad y replicación. Esta vulnerabilidad podría explotarse para violar los hosts de la infraestructura de respaldo.
Esta vulnerabilidad fue posteriormente utilizada por el grupo de amenazas FIN7, vinculado a varias operaciones de ransomware como Conti, REvil, Maze, Egregor y BlackBasta. Meses después, los afiliados del ransomware Cuba utilizaron la misma vulnerabilidad en ataques contra infraestructura crítica de EE.UU. y empresas de TI de América Latina.
En noviembre, Veeam lanzó revisiones para abordar otras dos fallas críticas (con puntuaciones base CVSS de 9,8 y 9,9/10) en su plataforma ONE de análisis y monitoreo de infraestructura de TI. Estas fallas permiten a los actores de amenazas obtener la ejecución remota de código (CVE-2023-38547) y robar hashes NTLM (CVE-2023-38548) de servidores vulnerables.