Faille critique dans Veeam Backup : comment se protéger des attaques potentielles
Un nouveau bulletin de sécurité alerte sur une vulnérabilité critique dans Veeam Backup Enterprise Manager (VBEM). Découvrons ensemble cette menace potentielle.
Veeam Backup Enterprise Manager : une présentation
Veeam Backup Enterprise Manager est une console Web de gestion et de reporting pour la solution Veeam Backup & Replication de l’éditeur. Elle offre la possibilité de gérer plusieurs instances Veeam à partir d’une seule console, un avantage non négligeable pour les organisations utilisant Veeam.
Il est important de noter que cette solution n’est pas activée par défaut et n’est pas utilisée par toutes les organisations utilisant Veeam, ce qui est pertinent en lien avec la vulnérabilité abordée dans cet article.
La faille de sécurité CVE-2024-29849
La CVE-2024-29849 est une faille de sécurité critique avec un score CVSS de 9.8 sur 10. Cette vulnérabilité permet de contourner l’authentification à VBEM, permettant à un attaquant de se connecter à l’application sans avoir les identifiants requis.
Il est recommandé de passer à la version 12.1.2.172 de VBEM publiée par Veeam pour se protéger de cette vulnérabilité. Si la mise à jour n’est pas possible immédiatement, il est suggéré d’arrêter et de désactiver certains services en attendant.
Si vous ne comptez pas utiliser VBEM, il est recommandé de le désinstaller complètement pour éliminer ce vecteur d’attaque potentiel.
Autres vulnérabilités corrigées
Outre la CVE-2024-29849, Veeam a corrigé 3 autres vulnérabilités lors de la sortie de la version 12.1.2.172 :
– CVE-2024-29850 : permet la prise de contrôle d’un compte via relais NTLM.
– CVE-2024-29851 : permet à un attaquant de voler le hash NTLM d’un compte de service avec des privilèges élevés.
– CVE-2024-29852 : permet à un attaquant avec des privilèges élevés de lire les journaux des sauvegardes.
Une faille de sécurité dans Veeam Agent for Windows a également été corrigée par Veeam dans le cadre de cette mise à jour.
Source : www.it-connect.fr
