Veeam ha lanzado actualizaciones de seguridad para abordar varias vulnerabilidades en su software de copia de seguridad y replicación, incluido un problema “crítico” que podría conducir a la ejecución remota de código (RCE).
La vulnerabilidad, rastreada como CVE-2025-59470, tiene una puntuación CVSS de 9,0.
“Esta vulnerabilidad permite a un operador de copia de seguridad o de cinta realizar una ejecución remota de código (RCE) como usuario de Postgres enviando un intervalo o parámetro de trabajo malicioso”, dijo en un boletín del martes.
Según la documentación de Veeam, un usuario con el rol de Operador de respaldo puede iniciar y detener trabajos existentes; exportar copias de seguridad; copiar copias de seguridad; y crear copias de seguridad de VeeamZip. Por otro lado, un usuario operador de cintas puede ejecutar trabajos de copia de seguridad en cinta o trabajos de catálogo de cintas; Expulsar cintas; bandas de importación y exportación; Mueva cintas a un grupo de medios; copiar o borrar cintas; y establecer una contraseña de banda.
En otras palabras, estos roles se consideran altamente privilegiados y las empresas ya deberían contar con protecciones adecuadas para evitar el abuso de estos roles.
Veeam dijo que a pesar de la puntuación CVSS, consideraba que la falla era de “alta gravedad” y que la posibilidad de explotación era menor si los clientes seguían las pautas de seguridad recomendadas por Veeam.
La empresa también está solucionando otras tres vulnerabilidades en el mismo producto:
- CVE-2025-55125 (Puntuación CVSS: 7,2): una vulnerabilidad que permite a un operador de copia de seguridad o de cinta realizar RCE como root mediante la creación de un archivo de configuración de copia de seguridad malicioso.
- CVE-2025-59468 (Puntuación CVSS: 6,7): una vulnerabilidad que permite a un administrador de copias de seguridad realizar RCE como usuario de Postgres enviando un parámetro de contraseña malicioso.
- CVE-2025-59469 (Puntuación CVSS: 7,2): una vulnerabilidad que permite a un operador de copia de seguridad o de cinta escribir archivos como raíz
Las cuatro vulnerabilidades identificadas afectan a Veeam Backup & Replication 13.0.1.180 y todas las versiones anteriores de 13 compilaciones. Se han solucionado en Backup & Replication versión 13.0.1.1071.
Aunque Veeam no menciona las vulnerabilidades que se están explotando en la naturaleza, es importante que los usuarios apliquen las correcciones de inmediato, ya que las vulnerabilidades del software han sido explotadas por actores de amenazas en el pasado.
About The Author
