Veeam ONE の４件の深刻な脆弱性が FIX：直ちにパッチを！

Critical Flaws Discovered in Veeam ONE IT Monitoring Software – Patch Now

2023/11/07 TheHackerNews — Veeam ONE IT Monitoring and Analytics プラットフォームに存在する４件の脆弱性に対して、セキュリティ・アップデートがリリースされた。脆弱性 CVE-2023-38547／CVE-2023-38548／CVE-2023-41723 は Veeam ONE 11／11a／12 に影響を及ぼすが、CVE-2023-38548 は Veeam ONE 12 のみに影響する。

修正された脆弱性の詳細は以下のとおりである。

• CVE-2023-38547 (CVSS：9.9) – この脆弱性の悪用に成功した未認証の攻撃者は、Veeam ONE のコンフィグレーション・データベースへのアクセスで用いられる、SQL サーバ接続に関する情報を取得できるようになる。それにより、SQL サーバ上でリモート・コードが実行される可能性がある。
  
  
• CVE-2023-38548 (CVSS：9.8) – Veeam ONE Web Client にアクセスできる権限のない攻撃者が、Veeam ONE Reporting Service で使用されるアカウントの NTLM ハッシュを取得できる。
  
  
• CVE-2023-38549 (CVSS：4.5) – XSS の脆弱性であり、ONE Power のユーザー権限を持つ攻撃者が、管理者権限を持つユーザーのアクセストークンを取得できるようになる。
  
  
• CVE-2023-41723 (CVSS：4.3) – Veeam ONE Read-Only のユーザー権限を持つ攻撃者に、ダッシュボード・スケジュールの閲覧を許す。

CVE-2023-38547／CVE-2023-38548／CVE-2023-41723 は Veeam ONE 11／11a／12 に影響するが、CVE-2023-38548 は Veeam ONE 12 のみに影響する。これらの脆弱性は、以下のバージョンで修正されている。

• Veeam ONE 11 (11.0.0.1379)
• Veeam ONE 11a (11.0.1.1880)
• Veeam ONE 12 P20230314 (12.0.1.2591)

過去数ヶ月間にわたり、Veeam のバックアップ・ソフトウェアの深刻な脆弱性が、FIN7 や BlackCat などの脅威アクターにより、マルウェアの配布に悪用されている。

影響を受けるバージョンを実行している場合は、Veeam ONE Monitoring／Reporting サービスを停止し、既存のファイルを Hotfix で提供されるファイルに置き換え、２つのサービスを再起動することが推奨される。

このブログの中を Veeam で検索してみましたが、Veeam ONE Monitoring／Reporting は初めての登場でした。直近の記事は、2023/04/26 の「Veeam Backup & Replication の脆弱性：ロシアの FIN7 サイバー犯罪組織が狙っている」でした。また、2023/05/24 には、「バックアップの重要性について再考：ランサムウェアから身を守るために – Veeam」というレポート記事もポストされていました。よろしければ、Veeam で検索も、ご利用ください。