CVE-2024-40711
Veeam Backup and Replication Deserialization Vulnerability
Beschreibung
CVE-2024-40711 ist eine kritische Deserialisierungsschwachstelle in Veeam Backup & Replication, die eine unauthentifizierte Remote Code Execution (RCE) ermöglicht. Betroffen sind Versionen von 12.0.0.1420 bis vor 12.2.0.334. Mit einem CVSS-Score von 9.8 (Kritisch), einem EPSS-Wert von 68,2 % (98,6. Perzentil) und der bestätigten Nutzung in Ransomware-Angriffen stellt diese Schwachstelle eine unmittelbare Bedrohung für Unternehmen dar, die Veeam zur Datensicherung einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| veeam | veeam backup \& replication | >= 12.0.0.1420, < 12.2.0.334 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://www.veeam.com/kb4649(Vendor Advisory)
- https://labs.watchtowr.com/veeam-backup-response-rce-with-auth-but-mostly-without-auth-cve-2024-40711-2/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-40711(US Government Resource)
Schwachstellentyp
Deserialisierung nicht vertrauenswürdiger Daten
Die Schwachstelle basiert auf einer unsicheren Deserialisierung (Deserialization of Untrusted Data). Bei der Deserialisierung werden Daten aus einem serialisierten Format wieder in Objekte umgewandelt. Wenn dabei nicht vertrauenswürdige Daten ohne ausreichende Validierung verarbeitet werden, kann ein Angreifer manipulierte Daten einschleusen, die bei der Deserialisierung zur Ausführung von beliebigem Code führen. Diese Schwachstellenklasse wird unter CWE-502: Deserialization of Untrusted Data klassifiziert. Mehr erfahren: CWE-502 bei MITRE
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-40711 sind besonders schwerwiegend, da Backup-Systeme eine zentrale Rolle in der IT-Infrastruktur spielen. Vertraulichkeit: Ein Angreifer erhält Zugriff auf den Backup-Server und damit potenziell auf sämtliche gesicherten Daten des Unternehmens, einschließlich Datenbanken, Dateisysteme und Konfigurationen. Integrität: Kompromittierte Backup-Server ermöglichen das Manipulieren oder Löschen von Backups, was die Wiederherstellungsfähigkeit eines Unternehmens nach einem Angriff zunichtemacht. Verfügbarkeit: Die vollständige Kontrolle über den Backup-Server kann zur Zerstörung aller Sicherungskopien führen und das System selbst außer Betrieb setzen. Der EPSS-Score von 68,2 % im 98,6. Perzentil bestätigt die hohe Ausnutzungswahrscheinlichkeit. Die bestätigte Verbindung zu Ransomware-Angriffen ist besonders kritisch, da Angreifer gezielt Backup-Systeme kompromittieren, um Wiederherstellungsoptionen zu eliminieren, bevor sie die Verschlüsselung der Produktivsysteme starten.
Exploit-Reifegrad
CVE-2024-40711 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 7. November 2024. Die Schwachstelle wird nachweislich in Ransomware-Kampagnen eingesetzt. Detaillierte technische Analysen sind öffentlich verfügbar, unter anderem von watchTowr Labs, die den Exploit-Mechanismus dokumentiert haben. Der EPSS-Score von 68,2 % im 98,6. Perzentil unterstreicht die hohe Ausnutzungswahrscheinlichkeit. Die Kombination aus unauthentifizierter Ausnutzbarkeit, öffentlich verfügbaren Exploit-Details und dem strategischen Wert von Backup-Servern für Ransomware-Akteure macht diese Schwachstelle zu einer bevorzugten Zielscheibe.
Behebung
- Sofort auf Veeam Backup & Replication 12.2.0.334 oder neuer aktualisieren: Laden Sie das Update über das Veeam Knowledge Base Artikel KB4649 herunter und installieren Sie es umgehend.
- Netzwerkzugriff einschränken: Beschränken Sie den Netzwerkzugriff auf den Veeam-Server auf autorisierte Administratoren. Blockieren Sie den Zugriff aus dem Internet und nicht vertrauenswürdigen Netzwerksegmenten.
- Kompromittierungsindikatoren prüfen: Untersuchen Sie die Veeam-Logs und Windows-Ereignisprotokolle auf dem Backup-Server auf verdächtige Aktivitäten, insbesondere ungewöhnliche Prozessstarts und Netzwerkverbindungen.
- Backup-Integrität verifizieren: Überprüfen Sie die Integrität Ihrer Backups und stellen Sie sicher, dass keine Manipulationen vorgenommen wurden. Testen Sie die Wiederherstellbarkeit kritischer Backups.
- Notfall-Backup erstellen: Erstellen Sie eine offline gespeicherte Kopie Ihrer wichtigsten Backups (Air-Gapped Backup), die bei einer Kompromittierung des Backup-Servers nicht betroffen wäre.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 9.8 (Kritisch). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Bedingungen. Erforderliche Berechtigungen (PR:N): Keine Authentifizierung erforderlich -- der Angriff kann völlig unauthentifiziert durchgeführt werden. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen bleiben im Sicherheitskontext der betroffenen Komponente. Auswirkungen: Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils maximal betroffen (C:H/I:H/A:H). Der Angriffsmechanismus basiert auf der unsicheren Deserialisierung von Daten, die über das Netzwerk an den Veeam-Server gesendet werden. Ein Angreifer kann einen speziell gestalteten Payload senden, der beim Deserialisierungsprozess zur Ausführung von beliebigem Code im Kontext des Veeam-Dienstprozesses führt. Die Analyse von watchTowr Labs zeigt, dass die Schwachstelle trotz einer initialen Authentifizierungsanforderung weitgehend unauthentifiziert ausgenutzt werden kann.
Häufig gestellte Fragen
Was ist CVE-2024-40711?
CVE-2024-40711 ist eine kritische Deserialisierungsschwachstelle in Veeam Backup & Replication, die eine unauthentifizierte Remote Code Execution ermöglicht. Ein Angreifer kann ohne Anmeldung beliebigen Code auf dem Backup-Server ausführen. Der CVSS-Score beträgt 9.8 (Kritisch).
Wird CVE-2024-40711 in Ransomware-Angriffen eingesetzt?
Ja, die Schwachstelle wird aktiv in Ransomware-Kampagnen genutzt. Angreifer kompromittieren gezielt Backup-Server, um vor der Verschlüsselung von Produktivsystemen die Wiederherstellungsoptionen zu eliminieren. Die CISA hat den Ransomware-Bezug als "Known" bestätigt.
Welche Veeam-Versionen sind betroffen?
Betroffen sind Veeam Backup & Replication Versionen von 12.0.0.1420 bis vor 12.2.0.334. Das Update auf Version 12.2.0.334 oder neuer behebt die Schwachstelle.
Warum sind Backup-Server besonders attraktive Ziele?
Backup-Server enthalten Kopien aller geschäftskritischen Daten und sind essenziell für die Wiederherstellung nach einem Angriff. Durch die Kompromittierung des Backup-Systems können Angreifer sowohl Daten stehlen als auch die Fähigkeit zur Wiederherstellung zerstören, was den Druck zur Lösegeldzahlung erheblich erhöht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.