Veeam ha publicado ayer actualizaciones de seguridad para solucionar dos vulnerabilidades de la Consola del Proveedor de Servicios (VSPC), incluida una ejecución remota de código (RCE) crítica descubierta durante pruebas internas.
VSPC, descrita por la compañía como una plataforma BaaS (Backend as a Service) y DRaaS (Disaster Recovery as a Service) de gestión remota, es utilizada por los proveedores de servicios para supervisar el estado y la seguridad de las copias de seguridad de los clientes, así como para gestionar sus cargas de trabajo virtuales, de Microsoft 365 y de nube pública protegidas por Veeam.
El primer fallo de seguridad corregido ayer (rastreado como CVE-2024-42448 y calificado con una puntuación de gravedad de 9.9) permite a los atacantes ejecutar código arbitrario en servidores no parcheados desde la máquina del agente de gestión de VSPC.
Veeam también parcheó una vulnerabilidad de alta gravedad (CVE-2024-42449) que puede permitir a los atacantes robar el hash NTLM de la cuenta de servicio del servidor VSPC y utilizar el acceso obtenido para eliminar archivos en el servidor VSPC.
Sin embargo, como ha explicado la empresa en un aviso de seguridad publicado ayer, estas dos vulnerabilidades sólo pueden explotarse con éxito si el agente de gestión está autorizado en el servidor objetivo.
Los fallos afectan a VPSC 8.1.0.21377 y a todas las versiones anteriores, incluidas las compilaciones 8 y 7, pero es probable que las versiones no compatibles del producto también se vean afectadas y "deberían considerarse vulnerables", aunque no se hayan probado.
"Animamos a los proveedores de servicios que utilizan versiones soportadas de Veeam Service Provider Console (versiones 7 y 8) a actualizar al último parche acumulativo", dijo Veeam.
"Se recomienda encarecidamente a los proveedores de servicios que utilicen versiones no soportadas que actualicen a la última versión de Veeam Service Provider Console".
La reciente explotación salvaje dirigida a las vulnerabilidades de Veeam ha demostrado que es crucial parchear los servidores vulnerables lo antes posible para bloquear posibles ataques.
Tal y como reveló el equipo de respuesta a incidentes de Sophos X-Ops el mes pasado, un fallo RCE (CVE-2024-40711) en el software Backup & Replication (VBR) de Veeam revelado en septiembre se explota ahora para desplegar el ransomware Frag.
La misma vulnerabilidad también se utiliza para obtener la ejecución remota de código en servidores VBR vulnerables en los ataques de ransomware Akira y Fog.
Veeam afirma que sus productos son utilizados por más de 550.000 clientes en todo el mundo, incluido el 74% de todas las empresas Global 2.000 y el 82% de Fortune 500.
Fuente: bleepingcomputer