Multiples vulnérabilités affectant Veeam Backup & Replication
Plusieurs vulnérabilités ont été découvertes dans la solution Veeam Backup & Replication. Elles permettraient à un acteur malveillant authentifié d'exécuter du code arbitraire à distance, d'élever ses privilèges et de compromettre l'intégrité des données sauvegardées.
Description
Contexte technique et détails de la vulnérabilité
Veeam Backup & Replication est une solution de sauvegarde, de restauration et de réplication des données pour les environnements virtuels, physiques et cloud. Cette solution est affectée par plusieurs vulnérabilités libellées comme suit : CVE-2026-21666, CVE-2026-21667 et CVE-2026-21669 : vulnérabilités résultant d'une mauvaise gestion des accès, qui permettraient à un acteur malveillant disposant d'un compte de domaine authentifié d'exécuter des commandes arbitraires sur le serveur de sauvegarde affecté. Elles sont classées critiques avec un score de sévérité de 9.9 selon le CVSS v3.1. CVE-2026-21668 : vulnérabilité due à une faille de contrôle d'accès aux fichiers. Elle permettrait à un acteur malveillant authentifié de contourner les restrictions et de manipuler des fichiers du Backup Repository. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-21672 : vulnérabilité résultant d'une gestion insuffisante des privilèges locaux sur les serveurs Veeam sous Windows. Son exploitation permettrait à un acteur malveillant authentifié d'élever ses privilèges au niveau SYSTEM. Elle est classée haute avec un score de sévérité de 8.8 selon le CVSS v3.1. CVE-2026-21708 : vulnérabilité permettant à un acteur malveillant disposant du rôle « Backup Viewer » d'exécuter du code arbitraire sur les systèmes affectés en tant qu'utilisateur postgres. Elle est classée critique avec un score de sévérité de 9.9 selon le CVSS v3.1. CVE-2026-21670 : vulnérabilité causée par une protection insuffisante des données sensibles sur les serveurs Veeam sous Windows. Elle permettrait à un attaquant disposant de faibles privilèges d'extraire les identifiants SSH stockés. Elle est classée haute avec un score de sévérité de 7.7 selon le CVSS v3.1. CVE-2026-21671 : vulnérabilité résultant d'une faille dans les déploiements à haute disponibilité (HA) du logiciel Veeam. Elle permettrait à un acteur malveillant authentifié disposant du rôle « Backup Administrator » d'exécuter du code à distance. Elle est classée critique avec un score de sévérité de 9.1 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Élévation de privilèges ;
- Atteinte à la confidentialité et à l'intégrité des données ;
- Compromission de l'infrastructure de sauvegarde.
Systèmes affectés
Produits, composants et versions concernés
- Veeam Backup & Replication 12.3.2 versions antérieures à 12.3.2.4465 ;
- Veeam Backup & Replication 13.0 versions antérieures à 13.0.1.2067.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Veeam Backup & Replication 12.3.2 vers la version 12.3.2.4465 ou supérieure ;
- Mettre à jour Veeam Backup & Replication 13.0 vers la version 13.0.1.2067 ou supérieure ;
- Restreindre l'accès aux ports d'administration Veeam aux seuls administrateurs de confiance.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.