Veeam Software, una empresa destacada en el suministro de soluciones de respaldo y gestión de datos, ha emitido un boletín de seguridad crítico para el mes de septiembre de 2024. El comunicado revela que se han detectado múltiples vulnerabilidades de alto riesgo que afectan a varios de sus productos insignia, entre ellos Veeam Backup & Replication, Veeam Agent for Linux, Veeam ONE y Veeam Service Provider Console.
La vulnerabilidad más severa, identificada como CVE-2024-40711, impacta directamente en el producto Veeam Backup & Replication. Esta falla permite la ejecución remota de código sin necesidad de autenticación, lo cual ha recibido una alarmante puntuación CVSS v3.1 de 9.8. La gravedad de esta vulnerabilidad pone en alto riesgo la seguridad de los sistemas que operan con versiones afectadas del software.
Además, se han identificado otros fallos significativos:
– CVE-2024-40710: Serie de vulnerabilidades de alta gravedad que permiten la ejecución remota de código y la extracción de información sensible.
– CVE-2024-39718: Permite a usuarios con bajos privilegios eliminar archivos de forma remota.
– CVE-2024-40714: Falla en la validación de certificados TLS, lo que podría facilitar la interceptación de credenciales durante operaciones de restauración.
El Veeam Agent for Linux también se ve afectado por una vulnerabilidad crítica, catalogada como CVE-2024-40709, que permite a usuarios locales con bajos privilegios elevar sus permisos a nivel de root.
Por su parte, Veeam ONE, la solución de monitorización y análisis de la empresa, presenta dos vulnerabilidades críticas:
– CVE-2024-42024: Permite la ejecución remota de código en máquinas con Veeam ONE Agent instalado.
– CVE-2024-42019: Facilita el acceso al hash NTLM de la cuenta de servicio de Veeam Reporter Service.
El boletín de seguridad también resalta riesgos en Veeam Service Provider Console, incluyendo dos vulnerabilidades críticas, CVE-2024-38650 y CVE-2024-39714, que permiten a atacantes con bajos privilegios acceder a información sensible y ejecutar código de forma remota en el servidor VSPC.
En respuesta a estas amenazas, Veeam ha lanzado actualizaciones para todos los productos afectados:
– Veeam Backup & Replication: Versión 12.2 (build 12.2.0.334).
– Veeam Agent for Linux: Versión 6.2 (build 6.2.0.101).
– Veeam ONE: Versión 12.2 (build 12.2.0.4093).
– Veeam Service Provider Console: Versión 8.1 (build 8.1.0.21377).
La empresa recomienda encarecidamente a todos los usuarios que actualicen sus sistemas a las versiones más recientes para mitigar estos riesgos de seguridad y proteger la integridad de sus datos.
