Back-upsoftware Veeam bevat beveiligingsgaten met CVSS-scores van 9,9

Veeam biedt een update voor zijn Backup & Replication-software waarin drie zeer ernstige beveiligingsgaten zitten. Twee scoren een 9,9 op de CVSS-schaal, wat bijna het hoogst haalbare is in die rangschikking voor kwetsbaarheden. Het derde gat krijgt een 7,3 op de CVSS-schaal.

De kwetsbaarheden zitten in versie 12 van Veeam Backup & Replication. De update naar versie 12.3.2.4165 verhelpt de drie beveiligingsgaten, meldt Veeam in een supportbericht. Die dinsdag uitgebrachte patch is voor versies 12.3, 12.3.1 en 12.3.2. De drie kwetsbaarheden zijn echter ook van toepassing op versies 12, 12.1 en 12.2. Gebruikers die nog een van die oudere releases gebruiken, moeten eerst een tussentijdse release installeren.

De twee kwetsbaarheden (CVE-2025-48983 en CVE-2025-48984) met een score van 9,9 in het Common Vulnerability Scoring System (CVSS) geven kwaadwillenden de mogelijkheid om op afstand eigen code uit te voeren op systemen met de back-upsoftware van Veeam. Aanvallers moeten dan wel al geauthenticeerd zijn als gebruiker op het Active Directory-domein waarin de kwetsbare Veeam-software draait. De derde kwetsbaarheid (CVE-2025-48982) maakt het mogelijk om hogere lokale rechten te verkrijgen. Daarvoor moet een systeembeheerder ertoe aangezet worden om een kwaadaardig bestand te herstellen.

Veeam meldt dat de twee ernstigste kwetsbaarheden alleen van toepassing zijn op back-upservers die zijn verbonden met een Active Directory-domein. Zo'n opstelling is met het oog op beveiliging niet geadviseerd als beste optie, legt de leverancier uit in een uitlegdocument met best practices voor ontwerp en implementatie van back-upsystemen. Verder meldt Veeam dat de aankomende versie 13 van zijn software voor back-up en replicatie niet wordt getroffen door deze twee kwetsbaarheden.

Reacties (30)

[Da Rock]

Gebruikers die nog een van die oudere releases gebruiken, moeten eerst een tussentijdse release installeren.

Dit is de specifieke release 12.3.2.3617. Als de patch geinstalleerd wordt op een oudere versie krijgen gebruikers de melding dat de patch niet compatible is met de huidige versie op het systeem.

Daarnaast wil ik iedereen alvast waarschuwen voor het downloaden van B&R via de veeam site, hier zit de patch nog NIET in. De patch moet los gedownload worden.

[Reactie gewijzigd door Da Rock op 15 oktober 2025 15:09]

[rusc]

Filename: VeeamBackup&Replication_12.3.2.4165_20251006.iso

Release date: 14-10-2025

VeeamBackup&Replication_12.3.2.4165_20251006_patch.zip zie ik niet ter download staan op de website van Veeam.

De iso moet toch ook een goede keus zijn waar de patch in verwerkt is?

[Da Rock]

Onderaan deze pagina kun je de patch downloaden.
KB4696: Release Information for Veeam Backup & Replication 12.3

Ik heb gister geupdate en dacht slim te zijn door de nieuwe B&R versie te downloaden, deze heet echter wel 12.3.2.4165_20251006.iso maar als ik deze wilde installeren stond er 'modify' in plaats van 'Update'

Uiteindelijk eindigde ik met bovenstaande link om de patch te downloaden en te installeren.

[xCarbonN-]

In de iso zit een folder "Updates" welke het bestand "VeeamBackup&Replication_12.3.2.4165_patch_20251006.exe" bevat dus met de ISO kan je verder!

[maevian]

Filename: VeeamBackup&Replication_12.3.2.4165_20251006_patch.zip

Dit is de juiste patch? Wij zitten al op 12.3.2.3617

[Da Rock]

Dat is inderdaad de juiste patch die je over versie 12.3.2.3617 moet installeren.

[CH4OS]

Twee scoren een 9,9 op de CVSS-schaal...

Ik ben dan misschien een nitpicker, maar er zijn verschillende versies van de CVSS schaal. Ik neem aan dat dit CVSSv3 is? :)

[Bor]

Dat staat gewoon direct in de link:

CVE-2025-48983
CVSS v3.1 Score 9.9
Vectoren: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

CVE-2025-48984
CVSS v3.1 Score: 9.9
Vectoren: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

CVE-2025-48982
CVSS v3.1 Score: 7.3
Vectoren: CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

[Reactie gewijzigd door Bor op 15 oktober 2025 16:46]

[Johan9711]

Tja, ook niet best practice om je backupserver in het domein te hebben...

Snap nooit zo goed waarom mensen dat nog doen.

[Reactie gewijzigd door Johan9711 op 15 oktober 2025 15:15]

[walteij]

Ik deel je mening, maar het maakt authenticatie voor controles en restore activiteiten zoveel makkelijker, mensen zijn liever lui dan moe en hebben ook een broertje dood aan verschillende accounts voor verschillende systemen.

[xCarbonN-]

Management console op een management server plaatsen kan daarin helpen, kan je opvolgen en restoren zonder naar de server te gaan.
Op de console kan je dan weer MFA zetten zodat ook die dichtgetimmerd zit.

[rjong5]

Dan heb je nog steeds losse account ( non domain) die jemoet aanmaken en rollen geven. ( Tenzij je backup server toch domain joined is, maar dan kan je net zo goed daarop inloggen ipv de console te gebruiken op een andere server)

[xCarbonN-]

Ben ik het niet helemaal mee eens.
Je moet inderdaad alsnog een account aanmaken maar best practice van veeam zegt rdp uit en naar security is dat ook een aanrader. Dan is de console toch net wat makkelijker dan een hypervisor console of console van de server zelf indien fysiek.

[rjong5]

Klopt, maar jij reageerde op iemand die aangaf dat veel mensen geen zin hebben in verschillende accounts overal. Die ga je nu alsnog nodig hebben natuurlijk.

Verder helemaal eens he, rdp uit op backupserver zelf en console op management server is zekers aan te raden

[toxict]

Je kan prima een aparte backup domain hebben met een one way trust, zodat Veeam overal bij kan komen vanuit het backup domain en omgekeerd niet. Op 1 of 2 beheerders na bijv.

[jhijman]

Oh zeker maar nu met automated restores (dag en nacht) en allerlei software om dat in de gaten te houden en logging. Ik praat het niet goed maar soms kan je echt niet anders. Uiteraard dan wel alle maatregelen nemen zoals geen directe internet conectie, jump servers netwerksegmentatie, mfa etc

[Triblade_8472]

Wat daarvan vereist een domain join dan?

Volgens mij kan je alles prima wat je wil, zonder.

[jhijman]

Oh mij hoef je niet te overtuigen hoor 🤣 maar er zijn regeltjes en richtlijnen van hoog bovenaf die dit voor ons tegenhouden. Daarom zeg ik soms heb je te dealen met de realiteit die er is. Uiteraard grijpen we elk moment aan om hier weer over te beginnen

[Da Rock]

Ik kan genoeg redenen bedenken waarom je een backupserver in een domein zou willen. Maar het is enorm af te raden. Elke situatie en infra is complex, en soms is een backup server in het domein dan handig afhankelijk van de infrastructuur die misschien wat verouderd is.

Het is een enorme ingang voor kwaadwillenden die toegang willen tot backups of deze willen verwijderen. Dan kan je zeggen, ik ga er alles aan doen om mijn infrastructuur te beveiligen maar dan moet je wel de juiste IT (partner) in handen hebben en de middelen en dat heeft lang niet iedereen.

[jhijman]

Klopt helemaal en soms heb je geen keuze en bepaal je dat niet zelf. Dus patchen maar maar de vorige versie had ook al een cve 9.9 en die daarvoor ook dus waarom dit nu pas belangrijk word geacht snap ik niet. Zie deze link

https://www.veeam.com/kb4696

Dit is versie 3 met een cve 9.9

[Reactie gewijzigd door jhijman op 15 oktober 2025 16:17]

[Mastakilla]

"Veeam Agent for Microsoft Windows FREE" -> is deze ook lek? Die gebruik ik hier thuis namelijk...

[jhijman]

Ja die heeft ook een cve 9.9

https://www.veeam.com/kb4778

[Mastakilla]

Voor zover ik kan zien is enkel CVE-2025-48982 (CVE 7.3) van toepassing op de Agent?

[jhijman]

Je hebt harstikke gelijk geen 9.9 maar een 7.3. Goede correctie thanks 🤘

[Da Rock]

Deze is ook lek KB4771: Vulnerabilities Resolved in Veeam Backup & Replication 12.3.2.4165 Patch en dan zoeken op CVE-2025-48982.

[Mastakilla]

Dus enkel die met een CVE van 7.3... Mooi, valt nog wel mee dan ;)

[wingull]

Heb vorige week 20 servers lekker naar 12.3.2.3617 geupdate, dacht goed bezig te zijn. Helaas

[FBI1988]

Wij zitten met al onze klanten ook op 12.3.2.3617 gelukkig, dus patch is voldoende. Zo blijf je lekker bezig. Kan patchen gelukkig vanuit mijn serviceprovider console.

[Reactie gewijzigd door FBI1988 op 15 oktober 2025 16:06]

[dasiro]

Veeam meldt dat de twee ernstigste kwetsbaarheden alleen van toepassing zijn op back-upservers die zijn verbonden met een Active Directory-domein. Zo'n opstelling is met het oog op beveiliging niet geadviseerd als beste optie, legt de leverancier uit in een uitlegdocument met best practices voor ontwerp en implementatie van back-upsystemen.

Nee Veeam, als jullie het aanbieden, dan moet je ervoor zorgen dat het veilig en correct is. Als je authenticatie volledig legitiem is, maar jullie implementatie niet, dan mag je niet je klanten verwijten dat het geen best practice is in het geval van niet een, maar twéé van de zwaarst mogelijke vulnerabilities. Dit is bijna de definitie van gaslighting.

[Triblade_8472]

Dat doen ze toch ook? Vandaar de patch. En ze verwijten niet, ze benadrukken. En terecht!
Over gaslighting gesproken, lekker negatief...