В Veeam Management Pack for Microsoft System Center обнаружили несколько уязвимостей, которые ведут к выполнению произвольного кода на серверах с компонентами продукта. Часть ошибок требует предварительной аутентификации, а для одной учётные данные не нужны. Затронуты сборки ветки 9, включая патч совместимости с Veeam Backup & Replication 13. Патча для 9.x не будет: вендор предлагает перейти на версию 13.1.
Уязвимости в службах Collector и Virtualization Extensions
Вендор нашёл ошибки при внутреннем тестировании продукта. Бюллетень безопасности Veeam kb4961 от 29 октября 2026 года описывает каждую из них и приводит ссылки на записи CVE; сами записи опубликованы в тот же день и обновлены 30 октября. Признаков эксплуатации в реальных атаках нет: CISA в оценке по методике SSVC (приоритизация уязвимостей под задачи организации) указала, что сведений об использовании не имеется. По одной из записей атака поддаётся автоматизации, по остальным - нет. Отдельно Veeam предупреждает: после публикации патча злоумышленники часто разбирают исправление, чтобы атаковать незакрытые установки.
Самую высокую оценку получила CVE-2023-22793 - 9.3 из 10 по CVSS 4.0 (общая система оценки уязвимостей) и уровень Critical по шкале вендора. Атака не требует учётных данных и направлена на службу Veeam Virtualization Extensions. Причина - десериализация недоверенных данных, то есть приём внешних данных и восстановление из них объектов без проверки источника. В результате на сервере исполняется чужой код. Идентификатор зарезервировали ещё в январе 2023 года, а запись раскрыли только теперь.
У CVE-2026-107239 оценка 8.8 из 10, уровень High. Её может использовать пользователь, входящий в группу Veeam Virtualization Extensions Users: прав администратора не нужно, достаточно членства в группе. Цель - служба Collector. Причина здесь другая - обход каталогов через относительные пути, когда подставленный путь выводит за пределы разрешённой папки. В итоге результат тот же: выполнение кода на сервере.
У третьей записи, CVE-2026-107238, оценка 8.7 из 10 (уровень High). Для неё нужен аутентифицированный пользователь домена. Ошибка затрагивает службу Collector, но код исполняется от имени LocalSystem - встроенной служебной учётной записи Windows с максимальными правами на локальном компьютере. Механизм - та же десериализация недоверенных данных.
Версия 13.1, сборка 13.1.0.334, закрывает перечисленные ошибки. Для ветки 9.x исправления не выпустят: Veeam прямо пишет, что патча не будет, и предлагает перейти на 13.1.0.334. Неподдерживаемые сборки вендор не тестировал, однако считает их вероятно уязвимыми. Официальных обходных мер в бюллетене нет.
Условия атаки раскрыты не полностью. В записях CVE поля вектора пустые, поэтому по ним нельзя сказать, нужен ли сетевой доступ или атака возможна только локально, а также требуется ли участие пользователя. Эти детали приведены в бюллетене kb4961.
Для парка System Center практический вывод один: проверить установки Management Pack и перевести их на 13.1.0.334. Ветка 9 останется без исправлений, поэтому такие установки сохранят уязвимость к выполнению кода. Техническое воздействие CISA оценивает как полное по всем записям, так что отсрочка продлевает срок, в течение которого службы Collector и Virtualization Extensions остаются открытыми для атаки.
Ссылки
- https://www.veeam.com/kb4961
- https://www.cve.org/CVERecord?id=CVE-2023-22793
- https://www.cve.org/CVERecord?id=CVE-2026-107238
- https://www.cve.org/CVERecord?id=CVE-2026-107239
