Les attaquants ont accès à Veaam Backup Enterprise Manager sans avoir à s’authentifier. Vos sauvegardes restent protégées, souligne Veeam.
Veeam signale quatre vulnérabilités dans Backup Enterprise Manager, un outil complémentaire pour Backup & Replication. En particulier, CVE-2024-29849 attire beaucoup d’attention en raison de son score CVSS de 9,8 sur 10. La vulnérabilité donne aux intrus un accès libre à la console de gestion web sans avoir à s’authentifier.
Les attaquants peuvent également exploiter la vulnérabilité CVE-2024-29850 (8.8) pour contourner le protocole d’authentification NLTM ou la vulnérabilité CVE-2024-29851 (7.2) pour récupérer des hachages. La quatrième et dernière vulnérabilité, CVE-2024-29852, permet d’accéder aux journaux des sessions des utilisateurs et est considérée comme une menace plutôt limitée (2.7).
Sauvegardes hors de danger
La règle d’or pour rendre votre organisation cyber-résiliente est de faire suffisamment de sauvegardes. En cas de problème, votre organisation se rétablira beaucoup plus vite si vos données peuvent être restaurées rapidement. Les attaquants connaissent bien cette règle, c’est pourquoi ils s’attaquent souvent non seulement à vos données actives, mais aussi à vos sauvegardes. Il est donc nécessaire de s’inquiéter de la vulnérabilité d’un logiciel de sauvegarde.
Veeam essaie de rassurer ses clients en leur disant que les attaquants qui parviennent à s’introduire dans Backup Enterprise Manager ne pourront pas simplement modifier vos sauvegardes. « Grâce à nos sauvegardes immuables et à l’autorisation uatre yeux », l’attaquant recevra u n message d’erreur lorsqu’il essaiera de supprimer des sauvegardes », explique l’entreprise à The Register.
Le fournisseur de solutions de sauvegarde conseille vivement aux utilisateurs d’installer les correctifs disponibles dès que possible. La version 12.1.2.172 corrige les failles de Backup Enterprise Manager. S’il n’est pas possible d’implémenter la mise à jour immédiatement, il est recommandé d’arrêter temporairement l’outil ou de le supprimer de votre environnement Veeam, si l’outil n’est pas activement utilisé.