CVE-2026-21671

RCE dla administratora kopii zapasowych w Veeam Backup & Replication (HA)

CVSS 9.1v3.1pub. 2026-03-12upd. 2026-05-10

Podatność w Veeam Backup & Replication umożliwia uwierzytelnionemu użytkownikowi z rolą Backup Administrator wykonanie zdalnego kodu (RCE) w środowiskach z wysoką dostępnością (HA). Oceniona jako krytyczna (CVSS 9.1), stanowi poważne zagrożenie dla integralności infrastruktury kopii zapasowych.

▸ Pokaż oryginał (EN)

A vulnerability allowing an authenticated user with the Backup Administrator role to perform remote code execution (RCE) in high availability (HA) deployments of Veeam Backup & Replication.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-94 (improper control of code generation) oraz CWE-693 (protection mechanism failure) pozwala atakującemu posiadającemu uprawnienia roli Backup Administrator na przesłanie lub wywołanie złośliwego kodu w kontekście wdrożenia wysokiej dostępności. Atak jest możliwy zdalnie przez sieć bez konieczności interakcji po stronie ofiary. Podwyższony zakres (Scope: Changed) wskazuje, że skutki ataku mogą wykraczać poza bezpośrednio podatny komponent.

Skutki

Atakujący może uzyskać pełną kontrolę nad systemem — w tym pełny dostęp do przechowywanych danych kopii zapasowych oraz możliwość modyfikacji lub zniszczenia danych (wysoka poufność, integralność i dostępność). W środowiskach HA skutki mogą obejmować wiele węzłów klastra.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://www.veeam.com/kb4831. Dodatkowo zaleca się ograniczenie dostępu do roli Backup Administrator wyłącznie do zaufanych i niezbędnych kont oraz monitorowanie aktywności uprzywilejowanych użytkowników w środowiskach HA.

Kogo dotyczy

Veeam Backup & Replication w konfiguracjach wysokiej dostępności (HA). Szczegółowe wersje wskazane w referencjach producenta: https://www.veeam.com/kb4831