Origine : bjCSIRT
Numéro : 2023/ALERTE/013
Date de l’alerte : 09/03/2023
APERÇU :
Toutes les versions actuelles de Veeam Backup & Replication présentent une vulnérabilité qui permettrait à un utilisateur non authentifié d’obtenir des identifiants chiffrés stockés dans la base de données de configuration VeeamVBR. Elle permet d’accéder aux hôtes de l’infrastructure de sauvegarde.
DESCRIPTION :
Veeam Backup & Replication est une application de sauvegarde développée par Veeam pour les environnements virtuels basés sur VMware vSphere, Nutanix AHV et les hyperviseurs Microsoft Hyper-V.
Le logiciel fournit des fonctionnalités de sauvegarde, de restauration et de réplication pour les machines virtuelles, les serveurs physiques, les postes de travail en interne ainsi que les machines sur le cloud.
Elle présente une vulnérabilité de type atteinte à la confidentialité des données nommée CVE-2023-27532 qui a été publiée le 07/03/2023.
Un attaquant non authentifié pourrait exploiter cette vulnérabilité pour accéder aux hôtes de l’infrastructure de sauvegarde après avoir obtenu des informations d’identification chiffrées stockées dans la base de données de configuration VeeamVBR.
Cette vulnérabilité est donc de sévérité Elevé et son score CVSSv3 est de 7,5.
IMPACT :
- Atteinte à la confidentialité des données.
SYSTEMES AFFECTÉS :
Tous les produits Veeam Backup & Replication antérieurs à la version :
- 12 (build 12.0.0.1420 P20230223)
- 11a (build 11.0.1.1261 P20230227)
MESURES À PRENDRE :
Il est fortement recommandé de mettre à jour les installations vers les versions suivantes :
- 12 (build 12.0.0.1420 P20230223)
- 11a (build 11.0.1.1261 P20230227)
REFERENCES :
