Veeam Backup & Replicationに2つの高リスク脆弱性(CVE-2025-48983,CVE-2025-48984)

2025年10月14日 Veeam Softwareは、Veeam Backup & Replication（VBR） と Veeam Agent for Microsoft Windows に関する計3件の脆弱性修正を公開しました。

内訳は、VBRにリモートコード実行（RCE） 2件（CVE-2025-48983／CVE-2025-48984、CVSS 9.9：Critical）、Windows Agentにローカル権限昇格 1件（CVE-2025-48982、CVSS 7.3：High）です。VBR向けの修正は12.3.2.4165 Patchで提供済み、Windows Agentは6.3.2.1302で修正されています。

影響範囲（要点）

• CVE-2025-48983（RCE）：VBRのMountサービスの不備により、認証済みのドメインユーザーがバックアップ基盤ホスト上で任意コード実行可能。

• CVE-2025-48984（RCE）：VBRのBackup Serverコンポーネントに起因。ネットワーク到達性のあるドメインユーザーがRCEを達成し得る。

• 共通条件：いずれもVBR v12系（12.3.2.3617およびv12のそれ以前）のドメイン参加サーバーが対象。

• 非影響：Veeam Software Appliance と 今後のVBR v13 はアーキテクチャ上の非影響。

• CVE-2025-48982（LPE）：Veeam Agent for Microsoft Windows 6.3.2.1205およびv6のそれ以前が対象。管理者が悪意あるファイルを復元させられた場合に権限昇格の恐れ。

技術的な背景

• 48983（Mountサービス）：バックアップのマウント処理に絡む検証不備が起点。ドメイン認証済みという現実的な前提の下、バックアップ基盤ホスト上で任意プロセス実行に繋がるリスク。

• 48984（Backup Server）：バックアップサーバーのリクエスト処理まわりでの欠陥が入口。ドメイン環境におけるネットワーク到達性＋ユーザー認証を足掛かりにRCE。

• 48982（Windows Agent）：復元オペレーションのソーシャルエンジニアリングと組み合わされることで、ローカル権限昇格を許すシナリオ。

優先度の目安（CISO/IT責任者向け）

• P1（即日対応）：VBR 12.3.2.4165 適用、管理面のネットワーク分離／MFA、サービスアカウント棚卸し。

• P2（48–72時間）：SIEM検知ルールの追加、復元ワークフローの二段承認化、異常なMount/復元の遡及分析。

• P3（1–2週間）：役割分離の恒久化、ドメイン依存の最小化、アプライアンス／v13移行計画の立案。