Kritische Sicherheitslücken in der Veeam Service Provider Console
Am 3. Dezember 2024 hat Veeam die Entdeckung und Behebung zweier Sicherheitslücken in der Veeam Service Provider Console (VSPC) Version 8.1 öffentlich bekanntgegeben. Diese Schwachstellen, die als CVE-2024-42448 und CVE-2024-42449 klassifiziert wurden, stellen erhebliche Risiken dar und wurden während interner Tests identifiziert.
- CVE-2024-42448
Diese Schwachstelle ermöglicht eine Remote Code Execution (RCE) auf der VSPC-Server-Maschine, sofern der Management-Agent auf dem Server autorisiert ist. Aufgrund ihrer kritischen Natur erhielt sie einen CVSS v3.1-Score von 9.9. Die Ausnutzung dieser Lücke könnte Angreifern weitreichende Kontrolle über die betroffenen Systeme geben. - CVE-2024-42449
Diese Schwachstelle erlaubt das Leaken von NTLM-Hashes des VSPC-Serverdienstkontos sowie das Löschen von Dateien auf dem Server. Sie wird mit einem CVSS v3.1-Score von 7.1 als hoch eingestuft.
Beide Schwachstellen betreffen ausschließlich die Veeam Service Provider Console in den Versionen 8.1.0.21377 und älter. Andere Produkte von Veeam, wie Veeam Backup & Replication oder Veeam ONE, sind nicht betroffen.
Die Sicherheitslücken wurden ab Version 8.1.0.21999 behoben. Veeam rät allen Nutzern, die betroffenen Versionen unverzüglich auf diese oder eine neuere Version zu aktualisieren. Da Angreifer versuchen könnten, die veröffentlichten Patches zu analysieren und ungeschützte Systeme auszunutzen, wird ein zeitnahes Handeln dringend empfohlen.