Продукты Veeam, которые поставляются с собственным ядром Linux, получили уязвимость в обработке TCP/IPv4. Вызвать можно отказ в обслуживании или повреждение памяти. Бэкап-сервер на appliance-е рискует стать недоступным целиком: ядро одно на все службы. Сведений об эксплуатации в реальных атаках опубликованные материалы не содержат.
Уязвимость в TCP/IPv4 и как её закрыть
Идентификатор уязвимости - CVE-2026-98432, оценка CVSS 9.8 из 10. Атака идёт по сети, сложность низкая, учётные данные и участие пользователя не нужны. Достаточно отправить специально собранный запрос на TCP-порт сервера. Veeam опубликовала статью KB 4966 шестого ноября 2026 года и обещает дополнять её по мере поступления новых данных.
Что происходит в ядре
Сбой возникает при установлении TCP-соединения. Ядро передаёт дочернему сокету указатель на параметры IP-опций, не копируя сами параметры. Пока один процессор собирает ответ на повторно присланный SYN, другой уже может освободить эту память. Код читает длину опций из освобождённого участка - так и возникает использование памяти после освобождения. Исправление откладывает освобождение на период ожидания RCU - механизма синхронизации в ядре Linux.
Похожий сценарий даёт миграция сокетов запросов. Она включается параметром ядра или программой BPF, которая распределяет соединения между процессами. Клон сокета делит опции с оригиналом, поэтому освобождение задевает оба. Оба места исправили одинаково - освобождением через RCU. Первого сценария IPv6 не касается.
Пока ядро не обновлено, компонент остаётся затронутым - так формулирует Veeam в KB 4966. Установка остальных обновлений продукта картину не меняет. Ядро обновляется только с перезагрузкой appliance-а или с пересозданием временного компонента.
Как обновиться
В репозитории Veeam со второго ноября 2026 года лежит обновление с исправленным ядром 5.14.0-570.60.1+27.2.el9_6_ciq. Оно предназначено для Veeam Software Appliance и Veeam Infrastructure Appliance 13.1 с любой ролью - от прокси до hardened repository.
Veeam Updater обращается к репозиторию каждые двенадцать часов. Обязательные обновления при настройках по умолчанию ставятся автоматически в ближайшее воскресенье в 14:00 по часовому поясу сервера резервного копирования. Если во вкладке Updates ничего нет, обновление, возможно, уже установлено - это видно во вкладке History консоли Veeam Host Management. Appliance-ы с локальным зеркалом репозитория получают обновление после синхронизации.
Установить вручную можно из той же консоли: в разделе Updates проверить наличие обновлений и запустить установку. После этого может потребоваться перезагрузка appliance-а. Если у компонента своя конфигурация обновлений, шаги повторяют в его консоли.
Veeam Backup & Replication 13.1 на Windows получает ядро для Linux-вспомогательных appliance-ов приватным фиксом. Ставить его нужно поверх версии 13.1.2.57, новые установки идут с перепакованного ISO 13.1.2. Для Veeam Backup & Replication 12.3 приватный фикс ещё готовят. Workers от плагинов для гипервизоров забирают обновлённое ядро при следующем запуске.
Часть вспомогательных appliance-ов живёт постоянно. Virtual Labs и appliance-ы в Microsoft Azure придётся развернуть заново, иначе они останутся на старом ядре. Средства восстановления Veeam Agent for Linux, созданные до обновления, нужно заменить новыми. Облачные appliance-ы для AWS, Google Cloud и Microsoft Azure работают на Ubuntu и получают ядро обычными обновлениями продукта.
Кого исправление не касается
Veeam Kasten for Kubernetes в списке затронутых не значится: в контейнерных образах ядра Linux нет. Оно берётся с узла кластера, поэтому смотреть надо на уведомление поставщика операционной системы узла или платформы Kubernetes. Linux-серверы клиента с прокси, репозиториями и шлюзами - тоже не компонент Veeam, управлять их системой Veeam не может. Здесь ориентируются на уведомления Ubuntu и Red Hat; запись CVE называет исправленными версии ядра 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.56 и 7.2.10.
Ссылки
