Veeam warnt vor drei Sicherheitslücken im Veeam Management Pack for Microsoft System Center. Wie heise online berichtet, können Angreifer darüber auf Servern mit den betroffenen Diensten Schadcode ausführen. Eine abgesicherte Version steht bereit, der Umstieg erfordert aber Planung.
Was das Management Pack macht
Das Management Pack ist eine Erweiterung für Microsoft System Center Operations Manager (SCOM). Administratoren überwachen damit Veeam Backup & Replication sowie VMware-vSphere- und Hyper-V-Umgebungen direkt in der SCOM-Konsole. Es zeigt den Zustand von Backup-Jobs und Infrastruktur, meldet Probleme und liefert Berichte zu Verfügbarkeit und Leistung. Es ist also ein Überwachungswerkzeug, nicht die Backup-Software selbst – sitzt aber an einer Stelle mit weitreichendem Einblick in die Infrastruktur.
Die drei Lücken
In seiner Warnmeldung listet Veeam die Schwachstellen CVE-2026-107239 und CVE-2026-107238, beide als hoch eingestuft, sowie die kritische CVE-2023-22793. Alle drei ermöglichen unter unterschiedlichen Voraussetzungen die Ausführung von Schadcode aus der Ferne.
Für CVE-2026-107239 muss ein Angreifer Mitglied der Gruppe „Veeam Virtualization Extensions Users“ sein. Über CVE-2026-107238 kann ein angemeldeter Domänennutzer Code mit LocalSystem-Rechten auf einem Server mit dem Collector-Dienst ausführen. Die kritische Lücke CVE-2023-22793 betrifft den Dienst „Veeam Virtualization Extensions“; für einen Angriff ist laut Veeam keine Anmeldung nötig.
Kein Fix für 9.x
Betroffen sind Version 9.1 und ältere 9.x-Ausgaben, auch mit installiertem Kompatibilitätspatch für Veeam Backup & Replication 13. Einen separaten Fix für den 9.x-Zweig wird es nicht geben. Administratoren müssen auf die abgesicherte Version 13.1.0.334 umsteigen. Ein direktes Upgrade unterstützt Veeam allerdings nur von Version 9a, Build 9.1.0.3107. Vor dem Umstieg sollten Admins daher ihre installierte Version prüfen und gegebenenfalls einen Zwischenschritt einplanen.
Veeam hat die Lücken nach eigenen Angaben bei internen Tests entdeckt und nennt keine Hinweise auf eine bereits erfolgte Ausnutzung. Auch die französische Cybersicherheitsbehörde CERT-FR hat eine Warnung veröffentlicht und nennt als Risiko die Ausführung beliebigen Codes aus der Ferne; betroffen seien alle Versionen vor 13.1 (Build 13.1.0.334). Wo das Update nicht sofort möglich ist, sollten Administratoren zumindest prüfen, wer Mitglied der Gruppe „Veeam Virtualization Extensions Users“ ist, und den Netzwerkzugriff auf die betroffenen Dienste einschränken. Das Update sollte dennoch zeitnah eingeplant werden.
Backup-Umgebungen im Visier
Backup-Systeme sind ein bevorzugtes Ziel von Ransomware-Gruppen: Wer die Sicherungen kontrolliert oder zerstört, erhöht den Druck auf Opfer, Lösegeld zu zahlen. Auch Überwachungswerkzeuge, die tief in Backup- und Virtualisierungsumgebungen blicken, sind deshalb sicherheitskritisch. Dass Veeam die Fehler selbst gefunden und offengelegt hat, ist positiv zu bewerten.
