Positive Technologies помогла Veeam устранить уязвимость в консоли управления операциями и услугами для сервис-провайдеров

Ошибка, связанная с подделкой запроса со стороны сервера (SSRF), могла бы использоваться для атак на внутренние сети компаний

Разработчик решений для резервного копирования Veeam Software устранил уязвимость в Veeam Service Provider Console — платформе управления, используемой поставщиками услуг резервного копирования и аварийного восстановления. Дефект безопасности CVE-2024-45206 (BDU:2024-1170) был обнаружен экспертом PT SWARM Никитой Петровым. Вендор был уведомлен об угрозе в рамках политики ответственного разглашения и выпустил обновление ПО.

Уязвимости типа SSRF, получившей оценку 6,5 балла по шкале CVSS 3.0, были подвержены версии c 7.x до 8.0.x включительно. Ее эксплуатация гипотетически могла бы подвергнуть компании риску атак на внутренние сети, так как позволяла злоумышленнику отправлять произвольные HTTP-запросы к внешним или внутренним ресурсам от имени сервера. Для исправления недостатка необходимо в кратчайшие сроки установить Veeam Service Provider Console версии 8.1.0.21377 и выше.

Решения Veeam, по данным разработчика, используют более 550 тыс. клиентов из разных стран, включая 74% компаний из списка Forbes Global 2000. Активнее всего продукты вендора применяют в США, Германии и Франции. Россия находится на 13-м месте по их распространению. Veeam занимает самую большую долю рынка среди мировых поставщиков программного обеспечения для репликации и защиты данных, а также восьмой год подряд является лидером в отчете Magic Quadrant for Enterprise Backup and Recovery Software Solutions¹ аналитического агентства Gartner.

Veeam Service Provider Console потенциально могла быть атакована напрямую из глобальной сети. В январе 2025 года, по данным открытых источников, в мире насчитывалось 2587 уязвимых систем. Большинство инсталляций — в США (26%), Турции (20%), Германии и Великобритании (по 6%), Канаде и Франции (по 5%). На долю России приходится меньше 1% установок.

Это не первая уязвимость в продуктах Veeam Software, которую эксперты Positive Technologies помогли устранить. В 2022 году Никита Петров обнаружил сразу два недостатка безопасности в Veeam Backup & Replication — популярной системе резервного копирования, которая позволяет автоматизировать процессы создания бэкапа и аварийного восстановления. Еще один дефект был выявлен в Veeam Agent for Microsoft Windows — программе для резервного копирования данных Windows. 

Для блокировки попыток эксплуатации уязвимостей типа SSRF эффективно применение межсетевых экранов уровня веб-приложений, например PT Application Firewall (у которого также есть облачная версия — PT Cloud Application Firewall). Межсетевой экран позволяет защитить приложения без внесения в них изменений, когда у компании нет возможности установить выпущенный вендором патч. Чтобы выявить уязвимости этого типа в собственной разработке, необходимо применять статический анализатор кода, например PT Application Inspector. Кроме того, вовремя выявить попытки эксплуатации уязвимостей внутри сетевого контура компании помогут продукты класса NTA, такие как PT Network Attack Discovery (PT NAD), и средства анализа сетевого трафика, например PT NGFW. NGFW может не только обнаружить попытки эксплуатации, но и предотвратить их при помощи модуля IPS.