BREVE NOTICIA
El proveedor de protección de datos Veeam ha lanzado una actualización para abordar una vulnerabilidad crítica que afecta a Veeam Service Provider Console (VSPC) y que, si se explota, podría provocar ejecución remota de código (ICE).
Rastreada como CVE-2024-42448 con una puntuación CVSS de 9,9, Veeam descubrió la vulnerabilidad durante las pruebas internas.
Veeam descubrió otra vulnerabilidad en el proceso, CVE-2024-42449, con una puntuación CVSS alta de 7,1, que podría filtrar un hash NTLM de la cuenta de servicio del servidor VSPC y eliminar archivos de la máquina.
Ambas vulnerabilidades afectan a VSPC 8.1.0.21377 y a todas las versiones anteriores de las compilaciones 7 y 8.
“Estos proveedores de servicios a menudo dependen de las herramientas de sus proveedores externos para gestionar los datos de los clientes y garantizar la continuidad del negocio”, escribió Elad Luz, jefe de investigación de Oasis Security, en una declaración enviada por correo electrónico a Dark Reading. “Cuando estos proveedores, como Veeam, tienen vulnerabilidades que permiten la ejecución remota de código, exponen la infraestructura de respaldo crítica a una posible explotación. En industrias donde la seguridad de los datos es primordial, como las finanzas, la atención médica y los servicios legales, el riesgo se amplifica ya que estas industrias contienen datos confidenciales que atraen a los ciberdelincuentes.
Como no hay mitigaciones disponibles para estas vulnerabilidades, Veeam recomienda versiones compatibles de VSPC a los usuarios. actualizado al último parche acumulativo.