Veeam Backup & Replication のリモートコード実行の脆弱性（CVE-2022-26500）

何が起きた

Veeam の Backup & Replication で、ファイルの場所の指定をきちんと制限していない弱点が見つかりました。これにより内部の API（プログラム同士が使う窓口）を使われ、任意のコード（攻撃者が好きに選べるプログラム）をアップロードして実行されるおそれがあります。この弱点は実際に悪用されており、ランサムウェアでの悪用も確認されています。NVD の説明では、悪用にはログイン済みの利用者であることが必要とされていますが、Veeam の案内と CISA の概要では、ログインなしに悪用できると説明されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Veeam Backup & Replication の 9.5U3、9.5U4、10.x、11.x を使っている組織が対象です。Veeam は、9.5 を使っている場合はサポートされている版に更新するよう求めています。

何をすればいい

Veeam Backup & Replication のサーバーに修正パッチを入れてください。11a は build 11.0.1.1261 P20220302、10a は build 10.0.1.4854 P20220304 です。9.5 はサポートされている版に更新します。すぐに入れられない場合、Veeam は一時的な対策として Veeam Distribution Service を止めて無効にすることを挙げています。あわせて、Veeam の公式の案内（KB4288）を確認してください。

やることチェックリスト

• 11a は 11.0.1.1261 P20220302 を適用する
• 10a は 10.0.1.4854 P20220304 を適用する
• 9.5 はサポートされている版に更新する

用語メモ

API

プログラム同士がやりとりするための窓口です。決まった形で頼むと、機能を使えます。

Veeam Distribution Service

Veeam Backup & Replication に含まれるサービスで、標準では TCP 9380 番の窓口を使います。

ログイン済み

ID とパスワードなどで本人確認を済ませ、サービスを使える状態になっていることです。