Уязвимости в Veeam Backup for Microsoft 365 позволяют выполнить код на сервере резервного копирования, прочитать произвольные файлы и обойти аутентификацию программного интерфейса. Внедрение SQL-кода в базу конфигурации открывает путь к чтению и записи данных сразу нескольких арендаторов. Часть проблем требует прав администратора продукта, а обход аутентификации работает без учётных данных. Затронуты сборки ветки 8, включая 8.5 и 8.6.
Состав уведомления и уровни опасности
Проблема с наибольшей оценкой - внедрение SQL-кода, то есть подстановка команд языка запросов в обращение к базе данных. Атака требует учётной записи участника переноса организаций: это доверенный узел, которому разрешён обмен данными между арендаторами. Арендатор - отдельная организация, чьи данные обслуживает сервер.
Через доверенный узел злоумышленник записывает в базу конфигурации сервера-источника собственные запросы. В результате он читает и меняет настройки разных арендаторов, а затем выполняет код от имени служебной учётной записи PostgreSQL, системы управления базами данных. Оценка - 9.0 из 10 по методике CVSS (общая система оценки уязвимостей) версии 4.0, критический уровень по классификации вендора; идентификатор - CVE-2026-106076.
Уязвимость с чтением файлов тоже требует входа, но с другой ролью. Пользователь с ролью администратора Veeam Backup for Microsoft 365 может прочитать любой файл на сервере резервного копирования. Чтение идёт с правами LocalSystem - служебной учётной записи Windows с максимальными полномочиями на локальной машине. Поэтому атакующий добирается до журналов, настроек и файлов с учётными данными. Оценка - 8.3 из 10, высокий уровень по классификации вендора.
Для обхода аутентификации учётные данные не нужны вовсе. Подделав токен федерации (данные, которыми одна система подтверждает доверие другой), атакующий проходит проверку программного интерфейса REST API, то есть набора методов для внешних систем. Ответы он получает только от тех методов, которые не обращаются к самой службе резервного копирования. Участие пользователя не требуется, запросы идут по сети. Оценка - 6.9 из 10, средний уровень; идентификатор - CVE-2026-106078.
Запись файлов при установке - локальная проблема. Пользователь с низкими правами на машине, где ставится продукт, может записать произвольные файлы от имени SYSTEM. Это права операционной системы, поэтому возможны повышение привилегий и отказ в обслуживании. Оценка - 4.3 из 10, средний уровень.
Набор затронутых сборок у проблем разный. Внедрение SQL-кода и чтение файлов затрагивают 8.5.0.1014 и все более ранние сборки ветки 8. Обход аутентификации и запись файлов при установке затрагивают 8.6.0.1102 и все более ранние сборки ветки 8. Неподдерживаемые версии вендор не тестировал, но просит считать их уязвимыми и оговаривает это в уведомлении.
Исправления разделены на две сборки. Внедрение SQL-кода и чтение файлов закрывает сборка 8.6 с номером 8.6.0.1102. Обход аутентификации и запись файлов при установке остаются и в ней: их закрывает только 8.6 Patch 1 с номером 8.6.0.5011. Поэтому установка 8.6 без патча оставляет часть проблем открытой.
Обходных мер вендор не приводит: единственный путь - обновление до 8.6.0.5011. Описание опубликовано в базе знаний под номером 4957 в рамках программы раскрытия уязвимостей Veeam, проблемы пришли через платформу HackerOne. Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Публикация технических деталей этого не подтверждает: вендор лишь предупреждает, что после раскрытия исправления злоумышленники часто разбирают патч и атакуют незакрытые установки.
Практический момент в разнице между сборками. Обновление до 8.6 снимает проблемы с внедрением SQL-кода и чтением файлов, но оставляет обход аутентификации программного интерфейса. Пока на сервере нет 8.6 Patch 1, часть методов интерфейса отвечает на запросы без проверки входа.
Ссылки
