Veeamバックアップ製品に深刻な脆弱性 - 推奨環境ではリスク低減

Veeam Softwareは、バックアップ管理製品「Veeam Backup & Replication（VBR）」のセキュリティアップデートをリリースした。「クリティカル（Critical）」とされる脆弱性も含まれるが、同社ガイドラインに準拠した環境では影響が低減されるという。

内部テストにより「同13」ブランチに4件の脆弱性が明らかになったとして、現地時間2026年1月6日にセキュリティアドバイザリを公開したもの。

「CVE-2025-59470」は、「Backup Operator」や「Tape Operator」の権限を持つユーザーが、悪意あるパラメータを送信することで、「postgres」ユーザーとして任意のコードを実行することが可能となるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.0」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

一方同社は、これらユーザーロールについて、高い権限が付与されており、同社が推奨するガイドラインを踏まえて保護する必要があると説明。ガイドラインに準拠した運用環境では悪用リスクを低減でき、重要度は1段階低い「高（High）」になるとしている。

（Security NEXT - 2026/01/07 ）ツイート