Descripción
Una vulnerabilidad que permite a un par autenticado de transferencia de organización inyectar SQL en la base de datos de configuración del servidor de origen de Veeam Backup for Microsoft 365, lo que deriva en lectura y escritura de datos de configuración entre inquilinos (cross-tenant) y en ejecución remota de código (RCE) como la cuenta de servicio de PostgreSQL.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Backup for Microsoft 365 Afectadas: 8.0 a 8.5.0.1014
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en veeam.comveeam.com/kb4957
Ver el texto original en inglés (CVE.org)
A vulnerability allowing an authenticated organization-transfer peer to inject SQL into the configuration database of the source Veeam Backup for Microsoft 365 server, leading to cross-tenant read and write of configuration data and remote code execution as the PostgreSQL service account.