Os usuários do Veeam Backup Enterprise Manager estão sendo instados a atualizar para a última versão, após a descoberta de uma falha de segurança crítica que poderia permitir a um adversário burlar as proteções de autenticação. Rastreada como CVE-2024-29849 (pontuação CVSS: 9.8), a vulnerabilidade poderia permitir a um atacante não autenticado fazer login na interface da web do Veeam Backup Enterprise Manager como qualquer usuário. A empresa também divulgou três outras deficiências que impactam o mesmo produto: CVE-2024-29850 (pontuação CVSS: 8.8), que permite a apropriação de conta via relé NTLM; CVE-2024-29851 (pontuação CVSS: 7.2), que permite a um usuário privilegiado roubar hashes NTLM de uma conta de serviço do Veeam Backup Enterprise Manager se não estiver configurado para ser executado como a conta de Sistema Local padrão; e CVE-2024-29852 (pontuação CVSS: 2.7), que permite a um usuário privilegiado ler logs de sessões de backup. Todas as falhas foram corrigidas na versão 12.1.2.172. No entanto, a Veeam observou que a implantação do Veeam Backup Enterprise Manager é opcional e que os ambientes que não o têm instalado não são afetados pelas falhas. Nas últimas semanas, a empresa também resolveu uma falha de escalonamento de privilégios locais que afeta o Veeam Agent para Windows (CVE-2024-29853, pontuação CVSS: 7.2) e um bug crítico de execução de código remoto que impacta o Veeam Service Provider Console (CVE-2024-29212, pontuação CVSS: 9.9). “Devido a um método de desserialização inseguro usado pelo servidor Veeam Service Provider Console (VSPC) na comunicação entre o agente de gerenciamento e seus componentes, sob certas condições, é possível realizar Execução de Código Remoto (RCE) no servidor VSPC”, afirmou a Veeam em relação ao CVE-2024-29212. As falhas de segurança no software Veeam Backup & Replication (CVE-2023-27532, pontuação CVSS: 7.5) têm sido exploradas por atores ameaças como FIN7 e Cuba para implantar cargas maliciosas, incluindo ransomware, tornando imperativo que os usuários ajam rapidamente para corrigir as vulnerabilidades mencionadas.