2024/06/17

Veeam Recovery Orchestratorで重大な脆弱性（CVE-2024-29855）

Veeam Recovery Orchestratorで重大な脆弱性（CVE-2024-29855）が発見されました。

脆弱性の概要｜CVE-2024-29855

CVE-2024-29855 は、CVSS v3.1 で 9.0 (「重大」) と評価されており、Veeam Recovery Orchestrator (VRO) バージョン 7.0.0.337 および 7.1.0.205 以前に影響を与える認証バイパスの脆弱性で、

認証されていない攻撃者が管理者権限で Veeam Recovery Orchestrator Web UI にログインできるようになります。

この脆弱性はセキュリティ研究者のSina Kheirkhah氏によって、発見され具体的なPOCも公開されているので、該当される方はアップデート対応をすることをお勧めします。

Veeam のセキュリティ情報では、パッチを適用したバージョン 7.1.0.230 および 7.0.0.379 にアップグレードすることを推奨しており、この脆弱性を悪用するために必要な条件についても説明しており、悪用条件には、

・有効なユーザー名とロールを知っていること

および

・アクティブなセッションを持つユーザーをターゲットにすること

が含まれます。