Уязвимость в Veeam ONE позволяет обойти многофакторную аутентификацию, то есть проверку второго признака помимо пароля. Для этого нужны действующие учётные данные администратора. Пользователь с такими правами отключает проверку для всей системы до её завершения и входит без второго фактора. Затронуты сборки ветки 13.1.
Как устроен обход MFA, CVE-2026-107671
Многофакторная аутентификация добавляет к паролю второе подтверждение: код из приложения, аппаратный ключ или сообщение. Проблема относится к классу CWE-288, обход аутентификации через альтернативный путь или канал. CWE - классификатор типов слабостей, по нему ищут похожие случаи в других продуктах. Второй путь здесь - сама настройка MFA. Администратор с действительными правами снимает её глобально, не завершив проверку, и система пускает его по одному паролю.
Глобальный характер настройки упрощает обход. Один администратор меняет состояние MFA для всего развёртывания, и отдельные учётные записи это не перекрывают. Для злоумышленника такой обход превращает украденный пароль в рабочий доступ: второй фактор больше не мешает. Именно поэтому проблема относится к обходу аутентификации, а не к подбору пароля.
Veeam оценила уязвимость в 8.5 из 10 по CVSS v4.0 и отнесла её к высокому уровню. CVSS - отраслевая шкала оценки серьёзности, чем выше значение, тем больше риск. Условия атаки описаны частично. Нужны действующие учётные данные администратора, то есть привилегированная запись с полными правами в продукте. Требуется ли сетевой доступ или хватит локального, вендор не уточняет; участие пользователя тоже не оговорено.
Сведений об эксплуатации в реальных атаках статья KB 4951 не содержит. Публичного эксплойта источник также не упоминает. Значит, на момент публикации речь идёт о раскрытии сведений и исправлении, а не о наблюдаемых атаках.
Исправление появилось в сборке Veeam ONE 13.1 P1 с номером 13.1.0.7940. Сборка - конкретный номер выпущенного дистрибутива, по нему сверяют установленную версию. Уязвимы сборка 13.1.0.7233 и все более ранние сборки ветки 13.1. Ветки 13.0.x и 12.x вендор называет незатронутыми, поэтому парк на 12.x из-за этой проблемы обновлять не нужно. Запись CVE исправленную версию не содержит, номер сборки приводит только статья базы знаний.
Обозначения P1 и 13.1.0.7940 описывают одно исправленное состояние, поэтому сверять нужно именно номер сборки. Запись CVE и статья базы знаний опубликованы 27 октября 2026 года. Публичный идентификатор CVE, номер уязвимости в открытых базах, присвоен через HackerOne. Оттуда же поступило сообщение о проблеме: Veeam принимает такие отчёты по программе раскрытия уязвимостей, каналу для внешних исследователей.
Обходных мер статья базы знаний не приводит, запись CVE их тоже не содержит. Veeam в этой же публикации предупреждает о другом риске. После раскрытия уязвимости и патча злоумышленники могут разбирать исправление и искать незакрытые установки. Это общее предупреждение о вероятном развитии событий, а не сообщение об атаках.
Администраторам остаётся обновить Veeam ONE до сборки 13.1.0.7940 и следить за правками статьи. Доступа с нуля уязвимость не даёт, потому что права администратора уже должны быть на руках. Однако с привилегированной учётной записи снимается второй фактор, а именно он сдерживает использование украденного пароля. Тому, кто держит MFA на Veeam ONE обязательной, обновление закрывает этот путь.
Ссылки
