Śledź Veeam wydał aktualizację zabezpieczeń odnoszącą się do CVE-2025-64393, krytycznej podatności umożliwiającej zdalne wykonanie kodu w Veeam Backup & Replication. Luka otrzymała wynik CVSS 4.0 wynoszący 9,4 i pozwala nisko uprawnionemu uwierzytelnionemu użytkownikowi z rolą Backup Viewer na wykonanie dowolnego kodu na serwerze Veeam Backup.
Podatność wynika z niebezpiecznej deserializacji niezweryfikowanych danych przetwarzanych przez Mount Service. Biorąc pod uwagę wrażliwą rolę, jaką infrastruktura kopii zapasowych odgrywa w środowiskach przedsiębiorstw, udane wykorzystanie podatności może zapewnić atakującym solidny przyczółek do uzyskania dostępu do infrastruktury odzyskiwania, kredencji i innych zasobów krytycznych.
Problem został rozwiązany 6 października 2026 r. wraz z wydaniem Veeam Backup & Replication 12.3.2 P4, build 12.3.2.4934. Wszystkie wersje 12 do i włącznie z 12.3.2.4854 są podatne, natomiast wersja 13 Veeam Backup & Replication nie jest podatna.
Organizacje mogą wzmocnić obronę przed pojawiającym się wykorzystaniem podatności, korzystając z AI-Native Detection Intelligence Platform firmy SOC Prime. Zespoły ds. bezpieczeństwa mogą uzyskiwać dostęp do stale aktualizowanej treści dotyczącej wykrywania i stosować detections w ponad 40 technologiach SIEM, EDR i Data Lake.
Profesjonaliści ds. bezpieczeństwa mogą również używać Uncoder AI do generowania logiki wykrywania z inteligencji zagrożeń, konwertowania IOC do zapytań w poszukiwaniu, udoskonalania istniejących zasad, wizualizacji przepływów ataku i tłumaczenia detections na różne platformy bezpieczeństwa.
Analiza CVE-2025-64393
CVE-2025-64393 dotyczy wersji Veeam Backup & Replication 12.3.2.4854 i wszystkich wcześniejszych wersji 12. Według Veeam, podatność istnieje, ponieważ niezweryfikowane dane otrzymane przez Mount Service mogą być niebezpiecznie deserializowane.
Atakujący musi już posiadać uwierzytelniony dostęp i mieć rolę Backup Viewer. Jednakże, ta rola jest stosunkowo nisko uprzywilejowana w porównaniu z dostępem administracyjnym, co znacząco zwiększa implikacje bezpieczeństwa podatności. Udane wykorzystanie pozwala na zdalne wykonanie kodu bezpośrednio na serwerze Veeam Backup, bez konieczności dodatkowej interakcji użytkownika.
Podatności na deserializację występują, gdy aplikacja rekonstruuje obiekty z danych kontrolowanych przez atakującego bez wystarczającej walidacji tego wejścia. Jeśli specjalnie spreparowane zserializowane dane dotrą do podatnego komponentu przetwarzającego, atakujący może być w stanie manipulować zachowaniem aplikacji i wywołać niezamierzone wykonanie kodu.
W tym przypadku, podatny na atak powierzchniowy jest związany z Veeam Mount Service. Ponieważ wykorzystanie skutkuje wykonaniem kodu na serwerze backupu, atakujący, które już uzyskali ograniczone konto Veeam, mogli potencjalnie wykorzystać tę lukę do eskalacji swojego dostępu i kompromitacji wysoce czułej infrastruktury kopii zapasowych.
Implikacje bezpieczeństwa są istotne. Platformy kopii zapasowych często mają szeroki dostęp do środowisk produkcyjnych, repozytoriów, infrastruktury administracyjnej i danych odzyskiwania. Kompromitacja takich systemów może zatem zwiększyć ryzyko kradzieży poświadczeń, manipulacji kopii zapasowych, niszczenia danych lub dalszej działalności ransomware.
Veeam przypisał luce wynik CVSS 4.0 wynoszący 9,4, z niską złożonością ataku i brakiem konieczności interakcji użytkownika. Podatność została zgłoszona przez HackerOne, choć w poradniku Veeam nie ujawniono dokładnej oryginalnej daty zgłoszenia ani identyfikacji badacza.
W momencie pisania, poradnik dostawcy i powiązane raporty bezpieczeństwa nie wskazują na potwierdzone wykorzystanie na wolności. Nie dokumentują również publicznie zweryfikowanego CVE-2025-64393 PoC. Niemniej jednak, gdy poprawki staną się dostępne, atakujący mogą próbować odtworzyć poprawki i opracować techniki wykorzystania przeciwko systemom, które pozostają bez poprawek.
W celu wykrywania CVE-2025-64393, obrońcy powinni skupić się na monitorowaniu uwierzytelnionej aktywności związanej z kontami Backup Viewer, nietypowym zachowaniem Mount Service, nieoczekiwanych procesach potomnych pochodzących z komponentów Veeam i podejrzanym wykonaniu poleceń na serwerach backupu.
Zabezpieczenie CVE-2025-64393
Veeam rozwiązał podatność w Veeam Backup & Replication 12.3.2 P4, build 12.3.2.4934. Organizacje korzystające z wersji 12 powinny jak najszybciej zaktualizować podatne wdrożenia do tej wersji lub późniejszej wspieranej wersji. Veeam potwierdza, że wersje 13 nie są podatne na tę podatność.
Administratorzy mogą zweryfikować zainstalowaną wersję za pomocą konsoli Veeam Backup & Replication, przechodząc do Menu Główne > Pomoc > O programie. Systemy działające na wersji 12.3.2.4854 lub wcześniejszej wersji 12 powinny być uznawane za podatne, dopóki aktualizacja zabezpieczeń nie zostanie zainstalowana.
Organizacje powinny również przeglądać, którzy użytkownicy obecnie posiadają rolę Backup Viewer i wycofać niepotrzebne przypisania. Stosowanie zasad najmniejszego przywileju jest szczególnie ważne, ponieważ wykorzystanie nie wymaga uprawnień administracyjnych.
Infrastruktura kopii zapasowych powinna być dodatkowo odizolowana od zwykłych systemów produkcyjnych i chroniona silnym uwierzytelnianiem, ograniczonym dostępem administracyjnym i dedykowanym monitorowaniem. Zespoły ds. bezpieczeństwa powinny badać nietypowe próby uwierzytelniania, nieoczekiwane zachowanie usług i podejrzane wykonanie procesów związane z komponentami Veeam.
Aby wykryć próby wykorzystania CVE-2025-64393, obrońcy mogą korelować zdarzenia uwierzytelnienia Backup Viewer z nietypową aktywnością Mount Service i późniejszym tworzeniem procesów lub wykonywaniem poleceń na serwerze Veeam Backup.
Nie opublikowano konkretnych IOC dotyczących ataku CVE-2025-64393 w poradniku dostawcy, odwołując się do momentu pisania. Monitorowanie zachowań jest zatem szczególnie ważne, aby zidentyfikować podejrzaną aktywność, która może wskazywać na próbę lub udane wykorzystanie.
AI-Native Detection Intelligence Platform firmy SOC Prime umożliwia zespołom ds. bezpieczeństwa przyspieszenie polowania na zagrożenia i inżynierii wykrywania dla pojawiających się podatności, jednocześnie utrzymując pokrycie wykrywania w różnorodnych środowiskach bezpieczeństwa.
FAQ
Czym jest CVE-2025-64393 i jak działa?
CVE-2025-64393 to krytyczna podatność umożliwiająca zdalne wykonanie kodu w Veeam Backup & Replication. Wynika to z niebezpiecznej deserializacji niezweryfikowanych danych otrzymanych przez Mount Service. Nisko uprawniony uwierzytelniony atakujący z rolą Backup Viewer może wykorzystać to słabość do wykonania kodu na serwerze Veeam Backup.
Kiedy CVE-2025-64393 zostało po raz pierwszy odkryte?
Podatność została zgłoszona do Veeam przez HackerOne, ale dostawca nie ujawnił publicznie dokładnej daty odkrycia ani zgłoszenia. Veeam publicznie ogłosił problem 6 października 2026 roku, kiedy wydał Veeam Backup & Replication 12.3.2 P4.
Jaki jest wpływ CVE-2025-64393 na systemy?
Udane wykorzystanie umożliwia zdalne wykonanie kodu na serwerze Veeam Backup. Ponieważ infrastruktura kopii zapasowych może zawierać dane odzyskiwania i utrzymywać uprzywilejowane relacje z innymi systemami przedsiębiorstwa, kompromitacja może narazić organizacje na dalszy nieautoryzowany dostęp, kradzież poświadczeń, manipulację kopiami zapasowymi lub inna działalność po wykorzystaniu.
Czy CVE-2025-64393 może mnie jeszcze dotknąć w 2026 roku?
Tak. Veeam Backup & Replication 12.3.2.4854 i wszystkie wcześniejsze wersje 12 pozostają podatne, chyba że zostaną zaktualizowane. Wersja 12.3.2 P4, build 12.3.2.4934, zawiera poprawkę, natomiast wersja 13 nie jest podatna.
Jak mogę się chronić przed CVE-2025-64393?
Zaktualizuj Veeam Backup & Replication do build 12.3.2.4934 lub późniejszej wspieranej wersji, przeglądaj przypisania ról Backup Viewer, stosuj zasady najmniejszego przywileju i uważnie monitoruj serwery kopii zapasowych pod kątem nietypowego uwierzytelnienia, aktywności Mount Service lub nieoczekiwanej egzekucji procesów. Administratorzy powinni także śledzić najnowsze szczegóły dotyczące CVE-2025-64393 publikowane przez Veeam.
