Veeam Backup & Replication 13: חולשה קריטית מאפשרת לעקוף הרשאות בלי להזדהות
Veeam תיקנה ב-27 באוקטובר ארבע חולשות בשרתי הגיבוי שלה, ובהן CVE-2026-108142 בציון 9.1. החולשה פוגעת רק בגרסה 13, ו-Veeam מזהירה שתוקפים ינסו לפענח את התיקון. כך בודקים את הגרסה ומעדכנים.
TL;DR בקצרה
- CVE-2026-108142 מאפשרת לתוקף בלי סיסמה לעקוף את בדיקת ההרשאות בשירות CDP Coordinator.
- הגרסאות הפגיעות: 13.1.1.18 ומטה בענף 13.1, ו-13.0.2.29 ומטה בענף 13.0. גרסה 12 לא פגיעה.
- התיקון: גרסה 13.1.2 (build 13.1.2.57) או 13.0.3 (build 13.0.3.63).
- אין דיווח על ניצול, אבל Veeam מעריכה שתוקפים ינסו לפענח את התיקון.
Veeam פרסמה ב-27 באוקטובר תיקון לחולשה קריטית ב-Veeam Backup & Replication 13, שמזוהה כ-CVE-2026-108142. לפי Veeam, תוקף שלא הזדהה יכול לעקוף בדיקת הרשאות בשירות בשם CDP Coordinator. הציון שלה הוא 9.1 מתוך 10. באותו עדכון Veeam סגרה עוד שלוש חולשות, אחת מהן ברכיב הגיבוי ללינוקס.
אין דיווח על ניצול בפועל. אבל קבוצות הכופרה אוהבות לתקוף שרתי גיבוי. לכן כדאי לעדכן מיד ולא לחכות.
מה ידוע על CVE-2026-108142
לפי הודעת האבטחה של Veeam (KB4948), החולשה יושבת בשירות CDP Coordinator. CDP הוא קיצור של Continuous Data Protection, המנגנון של Veeam לשכפול רציף של מכונות וירטואליות. Veeam לא מפרטת מה בדיוק תוקף יכול לעשות אחרי עקיפת ההרשאות. היא גם לא מתארת את שלבי התקיפה.
החולשה פוגעת בהתקנות של Veeam Backup & Replication על Windows וב-Veeam Software Appliance. אלה הגרסאות הפגיעות והמתוקנות:
| ענף | גרסאות פגיעות | גרסה מתוקנת |
|---|---|---|
| 13.1 | 13.1.1.18 ומטה | 13.1.2 (build 13.1.2.57) |
| 13.0 | 13.0.2.29 ומטה | 13.0.3 (build 13.0.3.63) |
| 12.x | לא פגיעה | אין צורך |
את כל ארבע החולשות דיווחו חוקרים דרך פלטפורמת HackerOne.
שלוש החולשות הנוספות בעדכון של Veeam
CVE-2026-108140 ו-CVE-2026-108141 קיבלו ציון 5.9 כל אחת. הן דורשות משתמש שהתחבר עם תפקיד Restore Operator, שגם שולט בתיקיית רשת (NAS) שמגובה בשרת. משתמש כזה יכול לכתוב קבצים לכל נתיב בשרת הגיבוי, בעזרת טכניקה שנקראת path traversal. הגרסאות הפגיעות והמתוקנות זהות לאלה של CVE-2026-108142.
CVE-2026-105477, בציון 7.3, פוגעת ב-Veeam Agent for Linux. היא מאפשרת למשתמש מקומי להעלות את ההרשאות שלו, רק בהתקנות שמנוהלות דרך Backup & Replication. הגרסאות הפגיעות הן 13.1.1.4 ומטה, והתיקון הוא 13.1.2 (build 13.1.2.11).
למה CVE-2026-108142 מסוכנת דווקא בשרת גיבוי
תוקפים שמשתלטים על שרת הגיבוי יכולים למחוק או להצפין את הגיבויים. רק אחר כך הם מצפינים את הארגון. כך לא נשארת דרך לשחזר בלי לשלם. לפי Cyber Security News, קבוצת הכופרה Frag ניצלה בעבר חולשה ישנה ב-Veeam, CVE-2024-40711. אין קשר בינה לבין החולשות החדשות.
Veeam עצמה מזהירה ש״תוקפים ינסו כנראה לבצע הנדסה הפוכה לתיקון״. כלומר, הם ישוו בין הגרסה הישנה לחדשה כדי להבין איפה החולשה, ואז יתקפו את מי שלא עדכן. מי שדוחה את העדכון מסתכן במיוחד בשבועות שאחרי פרסום התיקון.
מה זה אומר עבורכם
- בדקו את הגרסה: בקונסולה של Veeam, היכנסו ל-Help ואז ל-About. השוו את מספר ה-build המלא לטבלה, לא רק את מספר הגרסה הראשי.
- עדכנו לפי הענף: בענף 13.1, עברו ל-13.1.2.57. בענף 13.0, עברו ל-13.0.3.63. אם אתם על 12.x, החולשות האלה לא חלות עליכם.
- אל תשכחו את סוכני הלינוקס: בשרתי לינוקס שמגובים דרך Veeam, עדכנו את Veeam Agent for Linux ל-13.1.2.11 ומעלה.
- הפרידו את שרת הגיבוי: הוציאו אותו מהדומיין הרגיל וחסמו אליו גישה מהאינטרנט. השאירו לפחות עותק גיבוי אחד שאי אפשר למחוק (immutable) או שמנותק מהרשת.
- עובדים עם ספק IT? שאלו אותו בכתב אם השרתים שלכם כבר עודכנו, ומתי.
מה הלאה
בשלב הזה אין קוד ניצול ציבורי ידוע, ו-Veeam לא מדווחת על תקיפות. המצב הזה יכול להשתנות מהר, כי כל מי שמוריד את העדכון יכול להשוות אותו לגרסה הקודמת. לכן כדאי לעקוב אחרי דף KB4948 ואחרי קטלוג החולשות המנוצלות של CISA. אם החולשה תופיע שם, זה סימן שיש ניצול בפועל.
מקורות והרחבה
- KB4948: Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2Veeam
- Veeam Patches Critical Backup & Replication Authorization Bypass VulnerabilityCyber Security News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
