CVE-2026-21667

RCE w Veeam Backup & Replication dla uwierzytelnionego użytkownika domenowego

CVSS 9.9v3.1pub. 2026-03-12upd. 2026-03-31

Podatność w Veeam Backup & Replication umożliwia uwierzytelnionemu użytkownikowi domenowemu zdalne wykonanie kodu (RCE) na serwerze kopii zapasowych. Ocena CVSS 9.9 klasyfikuje ją jako krytyczną, a dostęp sieciowy bez wymogu interakcji użytkownika znacząco zwiększa ryzyko.

▸ Pokaż oryginał (EN)

A vulnerability allowing an authenticated domain user to perform remote code execution (RCE) on the Backup Server.

🤖 Analiza AI

Jak działa

Błąd wynika z niewystarczającej kontroli dostępu (CWE-284) w komponencie Backup Server. Uwierzytelniony użytkownik domenowy — bez konieczności posiadania uprawnień administracyjnych — może wysłać specjalnie spreparowane żądanie sieciowe do serwera, które prowadzi do wykonania dowolnego kodu. Podatność działa w zakresie zmienionym (Scope: Changed), co oznacza możliwość wpływu na zasoby wykraczające poza bezpośredni komponent podatny na atak.

Skutki

Atakujący może przejąć pełną kontrolę nad serwerem kopii zapasowych, uzyskując dostęp do przechowywanych danych backupowych, poświadczeń oraz infrastruktury chronionej przez Veeam. W konsekwencji możliwe jest naruszenie poufności, integralności i dostępności systemu oraz potencjalny lateral movement w środowisku produkcyjnym.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://www.veeam.com/kb4830. Do czasu wdrożenia łatki zaleca się ograniczenie dostępu sieciowego do Backup Server wyłącznie do zaufanych hostów oraz audyt kont domenowych posiadających dostęp do środowiska Veeam.