Vulnerabilidad de omisión de autorización de copia de seguridad y replicación crítica de parches de Veeam

Veeam ha publicado correcciones de seguridad para una vulnerabilidad crítica de omisión de autorización en Veeam Backup & Replication que permite que un atacante sin credenciales de inicio de sesión omita las comprobaciones de acceso en el servicio CdP Coordinator. Rastreada como CVE-2026-108142, la falla tiene una puntuación CVSS v4.0 de 9.1 y afecta tanto a las implementaciones basadas en Windows como al Veeam Software Appliance.

El aviso también cubre dos vulnerabilidades de escritura de archivos de gravedad media en Backup & Replication y una falla de escalamiento de privilegios locales de alta gravedad en Veeam Agent para Linux. CVE-2026-108142 afecta a Veeam Backup & Replication 13.1.1.18 y versiones anteriores en la rama 13.1, junto con 13.0.2.29 y versiones anteriores en la rama 13.0. Veeam Patches Backup & Replication Vulnerability Veeam enumera las primeras versiones fijas como Backup & Replication 13.1.2, compilación 13.1.2.57 y Backup & Replication 13.0.3, compilación 13.0.3.63. Veeam enumera las mismas compilaciones de copia de seguridad y replicación afectadas y versiones fijas para ambas vulnerabilidades.

Permite la escalación de privilegios locales y afecta solo a Veeam Agent para instalaciones de Linux administradas por Backup & Replication. Cyber Security News previously reported attackers exploiting CVE-2024-40711 in Veeam to deploy Frag ransomware, highlighting backup security risks, though this separate vulnerability does not confirm exploitation of the newly disclosed authorization bypass.

Consultar publicación original ↗