BDU:2024-10722

Опубликовано: 03 дек. 2024

Источник: fstec

CVSS3: 9.9

CVSS2: 9

EPSS Средний

Описание

Уязвимость программного средства резервного копирования и восстановления данных для удалённых и облачных клиентов Veeam Service Provider Console (VSPC) связана с ошибками при управлении привилегиями. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Veeam Software AG

Наименование ПО

Veeam Service Provider Console (VSPC)

Версия ПО

до 8.1.0.21999 (Veeam Service Provider Console (VSPC))

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование «белого» списка IP-адресов для организации доступа к уязвимому программному средству;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному средству;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация привилегий пользователей.

Использование рекомендаций:

https://www.veeam.com/kb4679

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.veeam.com/kb4679

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-42448
CVE

EPSS

Процентиль: 98%

0.58339

Средний

9.9 Critical

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2024-42448

CVSS3: 9.9

nvd

около 1 года назад

From the VSPC management agent machine, under condition that the management agent is authorized on the server, it is possible to perform Remote Code Execution (RCE) on the VSPC server machine.

GHSA-w4gc-9x8j-9hjv

CVSS3: 9.9

github

около 1 года назад

From the VSPC management agent machine, under condition that the management agent is authorized on the server, it is possible to perform Remote Code Execution (RCE) on the VSPC server machine.

EPSS

Процентиль: 98%

0.58339

Средний

9.9 Critical

CVSS3

9 Critical

CVSS2