Remote Code Execution in Veeam VSPC möglich

In der Veeam Service Provider Console (VSPC), einer Plattform zur Verwaltung und Überwachung von Veeam-Diensten, wurde eine schwerwiegende Sicherheitslücke entdeckt. Die Schwachstelle CVE-2024-29212, betrifft die Versionen 4.0, 5.0, 6.0, 7.0 und 8.0 der Software und ergibt sich aus einer unsicheren Deserialisierungsmethode, die im Kommunikationsprozess zwischen dem Management-Agenten und seinen Komponenten verwendet wird. Unter bestimmten Bedingungen ermöglicht dies die Ausführung von Schadcode auf dem Server der Veeam Service Provider Console, was als Remote Code Execution (RCE) bekannt ist. Entdeckt wurde das Problem während interner Tests.

Der Schweregrad dieser Sicherheitslücke wurde mit einem CVSS v3.1 Score von 8.8 als hoch eingestuft. Nutzer der betroffenen Versionen sind potenziell einem hohen Risiko ausgesetzt, sollten jedoch beruhigt sein, dass diese spezifische Sicherheitslücke keine anderen Produkte von Veeam betrifft, wie beispielsweise Veeam Backup & Replication oder Veeam ONE.

Veeam hat bereits auf diese Bedrohung reagiert und Updates bereitgestellt, die das Problem beheben. Die korrigierten Versionen sind für die Veeam Service Provider Console 7.0.0.18899 und 8.0.0.19236 verfügbar. Nutzer der betroffenen Software-Versionen werden dringend dazu aufgefordert, ihre Systeme unverzüglich zu aktualisieren, um sich vor möglichen Angriffen zu schützen.