Kritične ranjivosti u Veeam ONE
Dana 6. studenog 2023. godine, tvrtka Veeam izdala je sigurnosnu objavu adresirajući kritične ranjivosti koje utječu na proizvod Veeam ONE. Ranjivosti omogućavaju napadaču krađu NTLM hash-a ili udaljeno izvršavanje koda (engl. remote code execution).
Veeam je izdao sigurnosna ažuriranja za ove ranjivosti i preporučuje preporučuje se žurna primjena ažuriranja na zahvaćenim proizvodima.
Tehnički detalji ključnih ranjivosti popravljenih ovim ažuriranjem:
- Ranjivost CVE-2023-38548 (CVSS ocjena 9.8): omogućuje neprivilegiranom korisniku s pristupom Veeam ONE Web Client-u da dohvati NTLM hash računa koji se koristi za Veeam ONE Reporting Service.
- Ranjivost CVE-2023-38547 (CVSS ocjena 9.9): omogućuje neautenticiranom korisniku da dobije informacije o SQL poslužiteljskoj vezi koju Veeam ONE koristi za pristup konfiguracijskoj bazi podataka. Što može dovesti do udaljenog izvršavanja koda na SQL poslužitelju koji pruža konfiguracijsku bazu podataka Veeam ONE.
Zahvaćeni proizvodi:
- Ranjivost CVE-2023-38547 zahvaća Veeam ONE 11, 11a, 12.
- Ranjivost CVE-2023-38548 zahvaća Veeam ONE 12.
Verzije izvan razdoblja podrške (tj. verzije koje su dosegle kraj životnog ciklusa) također mogu biti pogođene.
Preporuke:
Korisnicima se preporuča ažuriranje zahvaćenih verzija na najnovije dostupne verzije sukladno smjernicama tvrtke Veeam.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.veeam.com/kb4508
- https://www.bleepingcomputer.com/news/security/veeam-warns-of-critical-bugs-in-veeam-one-monitoring-platform/
[inicijalna objava: 08.11.2023 - 08:00]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Uredba o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Smjernice za postupanje s neklasificiranim podacima
- Pravilnik o standardima sigurnosti neklasificiranih informacijskih sustava