プロバイダ向け「Veeam Service Provider Console」に深刻な脆弱性

Veeam Softwareは、サービスプロバイダ向け製品「Veeam Service Provider Console（VSPC）」における深刻な脆弱性を明らかにした。アップデートを強く推奨している。

現地時間12月3日にアドバイザリを公開し、「VSPC 8.1」およびそれ以前のバージョンが影響を受ける「CVE-2024-42448」「CVE-2024-42449」について公表した。サポート外のバージョンも影響を受ける可能性がある。

「CVE-2024-42448」は、「VSPCサーバ」によって認可された管理エージェントが動作する端末から、「VSPCサーバ」に対してリモートよりコードの実行が可能となる脆弱性。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.9」と高く、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

一方「CVE-2024-42449」は、「VSPCサーバ」によって管理エージェントが認可されている場合に、VSPCサーバサービスアカウントの「NTLMハッシュ」が漏洩し、「VSPCサーバ」上のファイルが削除されるおそれがある脆弱性としている。

（Security NEXT - 2024/12/04 ）ツイート