Critical Veeam Backup & Replication Flaw Allows Unauthenticated Attackers to Bypass Authorization
2026/10/27 gbhackers — Veeam が公開したのは、Veeam Backup & Replication に存在する、深刻度 Critical の認可バイパスの脆弱性を修正するセキュリティ・アップデートである。この CVE-2026-108142 を悪用する未認証の攻撃者は、CDP Coordinator Service の認可制御を回避する可能性がある。この脆弱性の CVSS v4.0 スコアは 9.1 であり、Windows 環境と Veeam Software Appliance の両方に影響する。同社は、2026年10月27日に公開したセキュリティ・アドバイザリ (KB4948) で、この問題を明らかにした。このアドバイザリでは、深刻度 Medium のパストラバーサルの脆弱性 2件と、Veeam Backup & Replication によって管理される Veeam Agent for Linux に影響する深刻度 High の、ローカル権限昇格の脆弱性についても説明されている。
Veeam Backup & Replication の脆弱性
脆弱性 CVE-2026-108142 は、Veeam Backup & Replication のバージョン 13.1 系列では 13.1.1.18 以前に、13.0 系列では 13.0.2.29 以前に影響する。アドバイザリによると、バージョン 12.x などの旧世代の製品は影響を受けない。
この脆弱性は、認証済みのアカウントがなくても悪用できる点で、同時に公表された他の問題とは異なる深刻さがある。Veeam は認可バイパスの問題であると説明しているが、リモートコード実行／バックアップの削除／サーバ全体の侵害が可能になるとは明示していない。公開されたリリースノートにも、具体的な悪用手順や、影響を受ける特定のサービス・エンドポイントに関する情報は記載されていない。
この認可バイパスの脆弱性を修正したバージョンとして、Veeam Backup & Replication 13.1.2.57／13.0.3.63 が指定されている。管理者にとって必要なことは、リリース系列ごとに異なる修正要件に対する注意と、バージョン 13 環境ごとにアップグレード・パッケージが提供されていることへの注意である。
今回のアップデートでは、脆弱性 CVE-2026-108140／CVE-2026-108141 も修正されている。どちらも CVSS v4.0 スコアは 5.9 で、深刻度は Medium と評価されている。
これらの脆弱性の悪用には、Restore Operator ロールを持つ認証済みユーザーであり、バックアップ対象のネットワーク接続ストレージ (NAS) の共有領域に保存された内容を制御できることが前提となる。この条件下では、相対パスを利用したパストラバーサルにより、攻撃者が制御するファイルが、バックアップ・サーバ上の任意の場所に書き込まれる可能性がある。
こうした前提条件により、これらの脆弱性は未認証で悪用可能な CVE-2026-108142 の問題とは区別される。Veeam は2件の脆弱性について類似した説明を公開しているが、内部実装における違いは明らかにしていない。どちらの脆弱性も、前述の Veeam Backup & Replication の修正済みバージョンで対処されている。
脆弱性 CVE-2026-105477 は、Veeam Agent for Linux に存在するローカル権限昇格の問題であり、CVSS v4.0 スコアは 7.3、深刻度は High と評価されている。影響を受けるのは、Veeam Backup & Replication により管理されるインストール環境のみである。
このアドバイザリでは、Agent のバージョン 13.1 系列における 13.1.1.4 以前が影響を受けると明記されている。その一方で、13.0.x および 6.x 系列は影響を受けない。修正済みバージョンは Agent 13.1.2.11 であり、Veeam Backup & Replication 13.1.2 に含まれている。
Windows 環境をバージョン 13.1.2 にアップグレードする場合に、Veeam が求めているのは、完全なインストール用 ISO イメージまたは、製品に組み込まれたアップデータの使用である。複数のサードパーティ製コンポーネントに変更が加えられているため、単独で適用できるパッチ用 ISO や ZIP ファイルは提供されていない。Veeam Software Appliance は、アプライアンス内部からアップグレードできるが、再起動が必要になる可能性がある。
管理者は、適切な修正方法を選択する前に、管理コンソールの「Help > About」メニューから、インストール済みのバックアップ・サーバのバージョンを確認できる。
この記事は、バックアップ管理ソフトウェアである Veeam Backup & Replication におけるアクセス制御の不備について解説するものです。調整サービスでの認証検証処理の欠落やパス記述検証の不備、管理コンポーネントにおける権限処理が背景に存在します。影響として、無権限での制御機能の迂回／不審なファイルの任意の場所への配置／ローカル環境での特権奪取が生じる恐れがあります。対応策として、最新安定版への製品全体のアップグレード／統合更新機能を用いた適用／管理対象システムのビルド番号確認が求められます。 (対象 CVE：CVE-2026-108142／CVE-2026-108140／CVE-2026-108141／CVE-2026-105477)
You must be logged in to post a comment.