Veeamのデータ復元調整ツールに脆弱性 - 乗っ取りのおそれ

データ復元の検証や調整などを行える管理ツール「Veeam Recovery Orchestrator（VRO）」に深刻な脆弱性が明らかとなった。アップデートで修正されている。

同製品を提供するVeeam Softwareが、現地時間6月10日にセキュリティアドバイザリを公開。ウェブインタフェースに管理者権限でアクセスが可能となる脆弱性「CVE-2024-29855」について明らかにした。

同脆弱性の悪用には、ウェブユーザーインタフェースのアクセストークンを持つ「ユーザー名」と「ロール」を事前に把握している必要があるが、リモートより認証なしに悪用が可能だという。

同社は攻撃条件の複雑さを「高」とし、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.0」と評価。重要度を「クリティカル（Critical）」とレーティングしている。

同社は、同脆弱性を修正した「同7.1.0.230」「同7.0.0.379」を提供している。

（Security NEXT - 2024/06/11 ）ツイート