Veeamのサービスプロバイダ向け管理製品に深刻な脆弱性

Veeamが提供する管理製品「Veeam Service Provider Console（VSPC）」に深刻な脆弱性が明らかとなった。

同製品は、同社バックアップエージェントやバックアップ製品で保護されたワークロードを対象として、データ保護の監視や集中管理を行うためのソフトウェア。サービスプロバイダ向けに提供している。

管理エージェントとコンポーネント間の通信において、安全ではないデータをデシリアライズする脆弱性「CVE-2024-29212」が明らかとなった。

特定の条件下で脆弱性を悪用されると、「VSPC」が稼働するサーバにおいてリモートよりコードを実行されるおそれがあるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.9」、重要度は「クリティカル（Critical）」とレーティングされている。

同社は内部テスト中に同脆弱性を発見したとし、「同8.0.0.19236」「同7.0.0.18899」で修正。サービスプロバイダーへアップデートを強く推奨している。なお、「Veeam Backup & Replication」など他製品は同脆弱性の影響を受けないとしている。

（Security NEXT - 2024/05/09 ）ツイート