CVE-2022-26500
Veeam Backup & Replication Remote Code Execution Vulnerability
Beschreibung
CVE-2022-26500 ist eine Path-Traversal-Schwachstelle in Veeam Backup & Replication, die es authentifizierten Angreifern ermöglicht, über interne API-Funktionen beliebigen Code hochzuladen und auszuführen. Die Schwachstelle beruht auf einer unzureichenden Begrenzung von Pfadnamen und betrifft Veeam Backup & Replication in den Versionen 9.5U3, 9.5U4, 10.x und 11.x. Ein entfernter, authentifizierter Angreifer kann diese Path-Traversal-Lücke nutzen, um auf nicht autorisierte API-Funktionen zuzugreifen und so die vollständige Kontrolle über das Backup-System zu erlangen. CVE-2022-26500 wurde von der CISA in den KEV-Katalog aufgenommen und ist mit Ransomware-Angriffen in Verbindung gebracht worden, was angesichts der zentralen Rolle von Backup-Systemen in der Datensicherung besonders besorgniserregend ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veeam | veeam backup \& replication | >= 10.0.0.4442, < 10.0.1.4854; >= 11.0.0.825, < 11.0.1.1261; 9.5.0.1536; 9.5.4.2615; 10.0.1.4854; 11.0.1.1261 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://veeam.com(Vendor Advisory)
- https://www.veeam.com/kb4288(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26500(US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Eine Path-Traversal-Schwachstelle liegt vor, wenn eine Anwendung Pfadangaben von Benutzern nicht ausreichend validiert und Angreifer dadurch auf Dateien und Verzeichnisse außerhalb des vorgesehenen Bereichs zugreifen können. Im Fall von CVE-2022-26500 ermöglicht diese Schwäche in Veeam Backup & Replication den Zugriff auf interne API-Funktionen, die normalerweise nicht erreichbar sein sollten, und erlaubt das Hochladen und Ausführen von beliebigem Code.
Mehr erfahren: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
CVE-2022-26500 ist über das Netzwerk ausnutzbar ohne physischen Zugriff, und die Angriffskomplexität ist gering, wobei allerdings eine geringe Authentifizierung erforderlich ist — der Angreifer benötigt gültige Zugangsdaten für das Veeam-System. Eine Benutzerinteraktion ist nicht erforderlich. Bei erfolgreicher Ausnutzung sind Vertraulichkeit, Integrität und Verfügbarkeit vollständig kompromittiert, was einem Angreifer den vollständigen Zugriff auf das Backup-System und die darin gespeicherten Daten ermöglicht. Mit einem CVSS-Score von 8.8 (HIGH) und einem EPSS-Score von 23,86 % besteht eine erhebliche Ausnutzungswahrscheinlichkeit. Besonders alarmierend ist die bestätigte Verbindung zu Ransomware-Kampagnen, da Angreifer gezielt Backup-Systeme kompromittieren, um Wiederherstellungsoptionen zu eliminieren und den Druck zur Lösegeldzahlung zu erhöhen.
Exploit-Reifegrad
CVE-2022-26500 wurde von der CISA als aktiv ausgenutzt bestätigt und in den KEV-Katalog aufgenommen, wobei eine ausdrückliche Verbindung zu Ransomware-Angriffen besteht. Der EPSS-Score von 23,86 % (95,90. Perzentil) weist auf eine signifikante Wahrscheinlichkeit aktiver Ausnutzung hin. In den referenzierten Quellen sind keine öffentlichen Exploit-Codes direkt verlinkt, jedoch ist die Path-Traversal-Technik zur Ausnutzung der internen API-Funktionen technisch gut dokumentiert und wird von Ransomware-Gruppen aktiv gegen Veeam-Backup-Infrastrukturen eingesetzt.
Behebung
- Gemäß CISA-Vorgabe handeln: Wenden Sie die von Veeam bereitgestellten Patches an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfügbar sind. Die Behebungsfrist war der 3. Januar 2023.
- Veeam Backup & Replication aktualisieren: Aktualisieren Sie auf eine gepatchte Version. Für Veeam Backup & Replication 11.x installieren Sie den Patch P20220302 oder aktualisieren auf Version 11a (Build 11.0.1.1261) oder höher. Für ältere Versionen (9.5, 10.x) aktualisieren Sie auf die neueste unterstützte Version. Detaillierte Anleitungen finden Sie im Veeam KB4288.
- Netzwerkzugang einschränken: Isolieren Sie den Veeam-Backup-Server in einem dedizierten Netzwerksegment und beschränken Sie den Zugriff auf die Veeam-API-Ports auf autorisierte Administratoren. Implementieren Sie strikte Firewall-Regeln, um den Zugriff von nicht vertrauenswürdigen Netzwerken zu blockieren.
- Kompromittierungsindikatoren prüfen: Überprüfen Sie Veeam-Logs auf ungewöhnliche API-Aufrufe, insbesondere Anfragen mit Pfad-Traversal-Mustern (z.B. '../' Sequenzen). Prüfen Sie das Dateisystem des Backup-Servers auf unbekannte oder verdächtige Dateien.
- Langfristige Härtung: Implementieren Sie eine strikte Eingabevalidierung und Pfad-Kanonisierung für alle API-Endpunkte. Beschränken Sie Dienstkonten auf die minimal erforderlichen Berechtigungen und aktivieren Sie Multi-Faktor-Authentifizierung für den Zugriff auf die Veeam-Konsole.
Technische Details
CVE-2022-26500 beruht auf einer Path-Traversal-Schwachstelle (CWE-22) in Veeam Backup & Replication, bei der Pfadnamen in API-Anfragen nicht ausreichend validiert werden. Durch die Manipulation von Pfadangaben mit speziellen Zeichenfolgen wie '../' kann ein authentifizierter Angreifer die vorgesehenen Verzeichnisbeschränkungen umgehen und auf interne API-Funktionen zugreifen, die normalerweise nicht exponiert sind. Der Angriffsvektor ist netzwerkbasiert (AV:N) mit geringer Komplexität (AC:L) und erfordert eine geringe Authentifizierung (PR:L), aber keine Benutzerinteraktion (UI:N). Der Zugriff auf diese internen API-Funktionen ermöglicht es dem Angreifer, beliebige Dateien auf den Server hochzuladen und auszuführen, was die vollständige Kompromittierung von Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) des Backup-Systems zur Folge hat. Betroffen sind die Versionen 9.5U3, 9.5U4, 10.x und 11.x von Veeam Backup & Replication.
Häufig gestellte Fragen
Wird CVE-2022-26500 aktiv ausgenutzt?
Ja, CVE-2022-26500 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen und sie ist ausdrücklich mit Ransomware-Angriffen verknüpft. Ransomware-Gruppen zielen gezielt auf Backup-Infrastrukturen, um Wiederherstellungsoptionen zu zerstören und den Druck zur Lösegeldzahlung zu erhöhen.
Welche Produkte sind von CVE-2022-26500 betroffen?
Betroffen ist Veeam Backup & Replication in den Versionen 9.5U3, 9.5U4, 10.x und 11.x. Alle Installationen dieser Versionen, die über das Netzwerk erreichbar sind, sind potenziell verwundbar, sofern ein Angreifer über gültige Zugangsdaten verfügt.
Wie behebe ich CVE-2022-26500?
Installieren Sie den von Veeam bereitgestellten Patch oder aktualisieren Sie auf die neueste Version. Für Version 11.x steht der Patch P20220302 zur Verfügung. Detaillierte Upgrade-Anleitungen finden Sie im Veeam Knowledge-Base-Artikel KB4288 unter www.veeam.com/kb4288. Isolieren Sie den Backup-Server zusätzlich in einem geschützten Netzwerksegment.
Wie schwerwiegend ist CVE-2022-26500?
Mit einem CVSS-Score von 8.8 (HIGH) ist CVE-2022-26500 eine schwerwiegende Schwachstelle. Die bestätigte Verbindung zu Ransomware-Angriffen und der EPSS-Score von 23,86 % unterstreichen die praktische Gefährlichkeit. Da Backup-Systeme eine zentrale Rolle in der Disaster-Recovery-Strategie spielen, kann eine Kompromittierung besonders weitreichende Folgen haben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.