CVE-2022-26501
Veeam Backup & Replication Remote Code Execution Vulnerability
Beschreibung
CVE-2022-26501 ist eine kritische Schwachstelle in Veeam Backup & Replication (Versionen 10.x und 11.x), die auf eine fehlende Authentifizierung (Missing Authentication for Critical Function) zurückzuführen ist. Durch diese Sicherheitslücke können nicht authentifizierte Angreifer über das Netzwerk auf geschützte Funktionen zugreifen und so die vollständige Kontrolle über das Backup-System erlangen. Da Veeam Backup & Replication in vielen Unternehmen als zentrale Datensicherungslösung eingesetzt wird, kann eine erfolgreiche Ausnutzung von CVE-2022-26501 zur Kompromittierung sämtlicher gesicherter Daten führen. Die Schwachstelle wurde in den CISA KEV-Katalog aufgenommen und wird aktiv für Ransomware-Angriffe ausgenutzt. Mit einem EPSS-Score von 66,7 % (98. Perzentil) besteht eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veeam | veeam backup \& replication | >= 10.0.0.4442, < 10.0.1.4854; >= 11.0.0.825, < 11.0.1.1261; 10.0.1.4854; 11.0.1.1261 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://veeam.com(Vendor Advisory)
- https://www.veeam.com/kb4288(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-26501(US Government Resource)
Schwachstellentyp
CWE-306: Missing Authentication for Critical Function
Bei CVE-2022-26501 fehlt in Veeam Backup & Replication eine ordnungsgemäße Authentifizierung für sicherheitskritische Funktionen. Angreifer können dadurch ohne gültige Anmeldedaten auf geschützte Schnittstellen zugreifen und administrative Operationen am Backup-System ausführen.
Mehr erfahren: CWE-306 — Missing Authentication for Critical Function
Auswirkungsanalyse
CVE-2022-26501 erhält mit einem CVSS-Score von 9.8 (Kritisch) die höchstmögliche Einstufung und stellt ein erhebliches Risiko für betroffene Organisationen dar. Angriffsvektor (Netzwerk): Die Schwachstelle ist ohne physischen Zugang aus dem Netzwerk heraus ausnutzbar, was die Angriffsfläche erheblich vergrößert. Angriffskomplexität (Niedrig): Es sind keine besonderen Bedingungen oder spezielles Wissen erforderlich, um die Schwachstelle auszunutzen. Keine Authentifizierung erforderlich: Ein Angreifer benötigt keinerlei gültige Zugangsdaten, um den Angriff durchzuführen. Keine Benutzerinteraktion nötig: Die Ausnutzung erfordert keine Mitwirkung eines Benutzers. Vertraulichkeit, Integrität und Verfügbarkeit (jeweils Hoch): Ein erfolgreicher Angriff ermöglicht den vollständigen Zugriff auf gesicherte Daten, deren Manipulation sowie die Störung des gesamten Backup-Betriebs. Da Veeam Backup & Replication häufig die letzte Verteidigungslinie gegen Datenverlust darstellt, ist die Kompromittierung besonders schwerwiegend. Die bestätigte Nutzung in Ransomware-Kampagnen unterstreicht die unmittelbare Bedrohung für Unternehmen.
Exploit-Reifegrad
CVE-2022-26501 wird aktiv ausgenutzt, wie die Aufnahme in den CISA KEV-Katalog (Known Exploited Vulnerabilities) bestätigt. Die CISA hat ausdrücklich festgestellt, dass diese Schwachstelle in Ransomware-Angriffen zum Einsatz kommt, was die Bedrohungslage erheblich verschärft. Der EPSS-Score von 66,7 % (98. Perzentil) deutet auf eine sehr hohe Wahrscheinlichkeit weiterer Ausnutzungsversuche hin. Obwohl in den öffentlich verfügbaren Referenzen kein dedizierter Exploit-Code verlinkt ist, zeigt die aktive Ausnutzung in der Praxis, dass funktionierende Exploits in Umlauf sind. Organisationen sollten umgehend handeln, da die Frist zur Behebung laut CISA am 3. Januar 2023 abgelaufen ist.
Behebung
- Vendor-Patches anwenden: Gemäß der KEV-Empfehlung der CISA sind die Maßnahmen des Herstellers umzusetzen. Veeam stellt im Knowledge-Base-Artikel KB4288 spezifische Patch-Informationen bereit. Aktualisieren Sie Veeam Backup & Replication 10.x und 11.x umgehend auf die gepatchten Versionen.
- Netzwerksegmentierung: Isolieren Sie den Veeam Backup-Server in einem eigenen Netzwerksegment und beschränken Sie den Zugriff auf die Management-Schnittstellen ausschließlich auf autorisierte Administratoren und bekannte IP-Adressen.
- Authentifizierungskontrollen verstärken: Implementieren Sie zusätzliche Authentifizierungsschichten wie Multi-Faktor-Authentifizierung (MFA) für den Zugriff auf die Backup-Infrastruktur und beschränken Sie API-Zugriffe auf vertrauenswürdige Quellen.
- Überwachung und Erkennung: Überprüfen Sie die Protokolle des Veeam-Servers auf verdächtige Zugriffsversuche, insbesondere unauthentifizierte Verbindungen zu kritischen Schnittstellen. Prüfen Sie auf Indikatoren einer möglichen Kompromittierung (IOCs).
- Backup-Integrität sicherstellen: Überprüfen Sie die Integrität bestehender Backups und stellen Sie sicher, dass eine offline oder unveränderbare Backup-Kopie existiert, die im Falle eines Ransomware-Angriffs nicht kompromittiert werden kann.
Technische Details
Die Schwachstelle CVE-2022-26501 basiert auf einer fehlenden Authentifizierung für sicherheitskritische Funktionen (CWE-306) in Veeam Backup & Replication. Konkret werden bestimmte interne Schnittstellen des Backup-Dienstes nicht durch eine Authentifizierungsprüfung geschützt, sodass ein nicht authentifizierter Angreifer über das Netzwerk (CVSS-Angriffsvektor: Network) direkt auf diese Funktionen zugreifen kann. Angriffskomplexität (Niedrig): Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H bestätigt, dass weder besondere Bedingungen noch Berechtigungen oder Benutzerinteraktion für die Ausnutzung erforderlich sind. Die fehlende Zugriffskontrolle ermöglicht es Angreifern, administrative Operationen durchzuführen, darunter potenziell das Lesen, Modifizieren und Löschen von Backup-Daten. Da Veeam diese Schwachstelle als erstes von zwei Zugangskontrollproblemen bezeichnet (issue 1 of 2), deutet dies auf systematische Mängel im Authentifizierungsdesign der betroffenen Versionen hin.
Häufig gestellte Fragen
Wird CVE-2022-26501 aktiv ausgenutzt?
Ja, CVE-2022-26501 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog aufgenommen und bestätigt die Nutzung in Ransomware-Angriffen. Der EPSS-Score von 66,7 % (98. Perzentil) unterstreicht die hohe Wahrscheinlichkeit weiterer Ausnutzung.
Welche Produkte sind von CVE-2022-26501 betroffen?
Betroffen ist Veeam Backup & Replication in den Versionen 10.x und 11.x. Da diese Software in vielen Unternehmen als zentrale Backup-Lösung eingesetzt wird, ist der potenzielle Betroffenenkreis erheblich.
Wie behebe ich CVE-2022-26501?
Veeam stellt Sicherheitspatches bereit, die über den Knowledge-Base-Artikel KB4288 verfügbar sind. Aktualisieren Sie Veeam Backup & Replication umgehend auf die gepatchte Version. Ergänzend sollten Sie den Backup-Server isolieren und den Netzwerkzugang auf autorisierte Administratoren beschränken.
Wie schwerwiegend ist CVE-2022-26501?
Mit einem CVSS-Score von 9.8 (Kritisch) gehört CVE-2022-26501 zu den schwerwiegendsten Sicherheitslücken. Die Schwachstelle erfordert keine Authentifizierung und keine Benutzerinteraktion, ist über das Netzwerk ausnutzbar und ermöglicht die vollständige Kompromittierung des Backup-Systems. Der EPSS-Score im 98. Perzentil bestätigt die akute Bedrohungslage.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.