CVE-2026-108142：Veeam 备份和复制授权绕过漏洞分析

Veeam已发布安全更新，以解决CVE-2026-108142，这是一个影响Veeam Backup & Replication 13的关键授权绕过漏洞。此漏洞允许未经身份验证的远程攻击者绕过与Veeam CDP协调服务相关的授权控制。

该漏洞的CVSS v4.0评分为9.1，影响基于Windows的Veeam Backup & Replication部署和Veeam软件设备。Veeam于2026年10月27日发布了KB4948安全公告，披露了该问题。

备份基础设施是特别敏感的安全目标，因为它包含恢复数据，并且通常与生产系统具有特权连接。因此，即使供应商尚未公开记录完整的利用链，核心备份组件的授权弱点也需要立即关注。

Veeam的CVSS向量表示为基于网络的低攻击复杂度剖析，不需要特权，不需要用户交互。然而，该向量还指定必须存在额外的攻击要求。Veeam尚未公开解释这些前提条件。

该漏洞影响Veeam Backup & Replication 13.1.1.18及所有较早的13.1版本，以及13.0.2.29及所有较早的13.0版本。Veeam明确表示，旧版本如12.x不受此特定缺陷的影响。

对于CVE-2026-108142的检测，安全团队应优先识别易受攻击的Backup & Replication安装，并监控备份服务器的不当活动，包括涉及CDP协调服务的未经授权的配置更改、可疑的备份基础设施修改以及来自不受信任系统的网络连接。

SOC Prime用户可以通过将网络、终端、身份和应用程序遥测与基于行为的检测内容相关联，加强对漏洞利用和事后妥协活动的可见性。

点击 探索检测 以访问相关检测内容和狩猎逻辑。为检测CVE-2026-108142，防御者应结合漏洞清单与Veeam服务的监控、管理活动、系统更改和网络访问备份基础设施。

联系销售

CVE-2026-108142分析

漏洞位于Veeam CDP协调服务中，这是Veeam Backup & Replication的一个组件，负责协调连续数据保护操作。

根据Veeam文档，CDP协调服务在备份服务器上运行，并与VMware vCenter通信，分配CDP任务，管理参与连续数据保护的基础设施组件，并协调复制和数据传输操作。

这使得围绕该服务的授权控制尤为重要。备份服务器充当备份基础设施的配置和管理核心，而CDP协调服务可以与参与复制的基础设施组件交互。

CVE-2026-108142的具体细节在公开披露中故意有限。

Veeam描述漏洞为允许未经身份验证的攻击者绕过CDP协调服务上的授权，但未披露易受攻击的请求、受影响的功能、协议交互、利用顺序或底层实现缺陷。

CVE分类为CWE-636，未安全失败，通常描述为“开放失败”条件。当安全机制遇到错误或意外状态时，该弱点类别发生，它会进入一个不太安全的状态，而不是拒绝访问。

然而，仅凭CWE分类不应用来推断Veeam软件中的具体实现错误。供应商尚未发布足够的技术信息以确定授权绕过究竟如何被触发。

CVSS v4.0向量为：

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:H/SC:N/SI:H/SA:H

这表示：

• 基于网络的攻击向量
• 低攻击复杂度
• 存在额外的攻击要求
• 无需特权
• 无需用户交互
• 未识别直接的机密性影响
• 完整性和可用性影响高
• 对后续系统的完整性和可用性影响高

这一最后的区别很重要。Veeam的评分表明，成功的利用不仅可能影响易受攻击的备份系统，还可能影响其下游的系统。然而，供应商尚未描述攻击者在绕过授权后可以执行的具体操作。

Veeam或所提供的报告均未声明漏洞提供任意远程代码执行。

CybersecurityNews特别指出，公告并未描述攻击序列或说明该缺陷启用RCE。CyberPress同样指出，Veeam未发布利用步骤或声称执行代码。

因此，声称该缺陷直接提供shell访问、SYSTEM权限、凭证盗窃或任意命令执行的说法，目前超出了可用证据。

CVE-2026-108142影响两个Veeam Backup & Replication 13分支：

• 13.1.1.18版本及较早的13.1版本
• 13.0.2.29版本及较早的13.0版本

该漏洞适用于基于Windows的Veeam Backup & Replication安装和Veeam软件设备部署。

供应商标识的Veeam Backup & Replication 12.x及其他旧版本不受此特定问题的影响。

组织应核实确切的构建号，而不是仅依赖主要版本号。

例如，报告为13.1版本的安装可能仍然易受攻击，除非已升级到构建13.1.2.57或更高版本。

管理员可以从产品界面审查其安装的Backup & Replication构建，并将其与Veeam的发布信息进行比较。

截至撰写本文时，没有Veeam或所提供的安全报告记录公共CVE-2026-108142 PoC。独立的公共漏洞跟踪也报告没有公开可用的概念验证利用。

同样，Veeam也未报告该漏洞的主动利用。

此区别尤为重要，因为Veeam基础设施在以前的攻击中通过其他漏洞被定位。CybersecurityNews指出CVE-2024-40711曾被用于勒索软件操作，但这一历史活动并未显示新披露的授权绕过的利用。

截至2026年10月29日，根据当前可用的漏洞跟踪数据，新的CVE在CISA的已知利用漏洞目录中也未列出。

因此，没有确认的特定于活动的CVE-2026-108142 IOC，如恶意IP地址、域名、散列、利用载荷或已知攻击者基础设施与此漏洞相关联。

安全团队应专注于暴露评估和行为监测。

潜在调查点包括：

• 来自意外系统的Veeam备份基础设施的网络连接
• 与CDP协调服务的意外交互
• 对备份或CDP配置的未经授权的更改
• 没有管理解释的新建或修改的备份任务
• 意外的服务重启或故障
• 复制策略的更改
• 不符合批准管理活动的受保护基础设施的修改
• 备份服务器上可疑的帐户或权限更改
• 来自Veeam基础设施的意外进程或网络活动
• 从用户网络或面向Internet的系统接近备份管理服务的企图

这些行为不是漏洞特定的指标。它们是防御狩猎机会，可以在技术利用细节仍然不可用时帮助揭示涉及关键备份服务器的可疑活动。

组织还应审查Veeam基础设施周围的网络分段。

备份服务器不应广泛可从普通工作站、来宾环境或不受信任的网络分段到达。只有需要与Veeam服务通信的系统应该被允许访问相关的接口和端口。

这减少了可与易受攻击的服务交互的系统数量，同时正在部署补丁。

10月份的安全更新还解决了另外三个漏洞。

CVE-2026-108140和CVE-2026-108141是中等严重度的相对路径遍历漏洞，CVSS评分为5.9。利用需要一个经过认证的恢复操作员，他还控制备份NAS共享的内容。在这些条件下，攻击者控制的文件可以被写入备份服务器上的任意位置。

一个单独的问题CVE-2026-105477影响由Backup & Replication管理的Veeam Agent for Linux安装。高严重性的漏洞可能导致本地权限升级，并在Veeam Agent for Linux 13.1.2，构建13.1.2.11中修复。

应用10月份更新的组织应因此审查其整个Veeam环境，而不仅仅局限于处理关键授权绕过。

CVE-2026-108142缓解措施

主要的补救措施是安装修复的Veeam Backup & Replication版本。

对于13.1分支，升级到：

Veeam Backup & Replication 13.1.2 — 构建13.1.2.57

对于13.0分支，升级到：

Veeam Backup & Replication 13.0.3 — 构建13.0.3.63

这些构建包含供应商提供的授权漏洞修复。

推荐的 CVE-2026-108142缓解 过程应首先识别每个Veeam Backup & Replication服务器，并确定其已安装的确切构建。

安全团队应优先升级那些在大型网络分段中可访问的、连接到关键虚拟化基础设施的或支持高价值生产工作负载的备份服务器。

补丁应被视为安全优先事项，因为根据已发布的CVSS向量，利用不需要经过认证的账户。

Veeam未在KB4948中发布完全的绕过补丁替代修复的软件更新的方法来消除漏洞。

如果立即升级在操作上不可行，组织应在完成补丁前应用深度防御措施：

• 使用网络分段限制对Veeam备份服务器的访问。
• 仅从合法需要访问的系统允许连接。
• 阻止不必要的从工作站和用户VLAN的通信。
• 防止直接的备份基础设施的互联网暴露。
• 在合适的情况下应用基于主机的防火墙限制。
• 监控来自意外系统的Veeam服务访问。
• 审查管理和备份配置更改。
• 监控备份服务器中不寻常的进程执行或出站连接。
• 使用强认证和最小权限保护管理凭证。
• 在可能的情况下，维护不可变或离线备份副本。

这些控制措施减少攻击面，但不应被视为供应商更新的替代品。

Veeam的发布信息表明，13.1.2.57是一个累积补丁，解决安全漏洞以及其他已报告的问题。补丁可以通过Veeam的更新机制分发，或使用更新的安装介质安装。

升级后，管理员应验证预期的固定构建是否正在运行。

他们还应确认备份和复制任务正常运行，并测试恢复能力。在恢复能力经过验证之前，不应将对备份基础设施的安全更新视为完成。

由于目前没有公开的特定于漏洞的利用指标，组织应审查在补丁前仍然脆弱的系统上的历史活动。

重要来源包括：

• Veeam服务日志
• Windows事件日志
• Veeam配置和任务历史记录
• 来自备份服务器的EDR遥测
• 防火墙和网络流量日志
• 验证记录
• 管理活动
• vCenter和虚拟化管理日志

安全团队应调查对任务、存储库、复制配置、保护策略、基础设施组件或管理帐户的意外更改。

也应验证备份完整性。

攻击者经常在更广泛的入侵期间瞄准备份系统以削弱恢复。即便公共报告未显示此CVE的勒索软件利用，调查可疑活动的组织应确认恢复点、不可变副本和离线备份未被更改。

在无法排除妥协的情况下，事件响应人员应在进行缓解前保护干净的备份副本。

从备份基础设施可访问的凭证也应被审核，并在证据显示未经授权的访问时进行旋转。

运行由Backup & Replication管理的Veeam Agent for Linux的组织应单独升级易受攻击的代理到版本13.1.2，构建13.1.2.11，以解决CVE-2026-105477。

关键的授权绕过和另外三个漏洞通过HackerOne报告给Veeam。Veeam于2026年10月27日发布了所有四个问题的修复。

免责声明： 检测内容可能不适用于每个CVE。检查SOC Prime 平台的当前覆盖范围。如果相关检测尚未可用，请再次检查，因为新威胁情报和检测内容会不断添加。