Veeam Management Pack: Sicherheitslücken ermöglichen Codeausführung

Angreifer können Server mit Veeam Management Pack, auf denen die betroffenen Dienste laufen, attackieren und Schadcode ausführen. Dagegen abgesicherte Ausgaben stehen zum Download bereit.

Betroffen sind den Entwicklern zufolge Version 9.1 und ältere 9.x-Ausgaben des Veeam Management Packs for Microsoft System Center – auch mit installiertem Kompatibilitätspatch für Veeam Backup & Replication 13. Für den Versionszweig 9.x wird es keinen separaten Fix geben. Admins müssen auf die abgesicherte Version 13.1.0.334 umsteigen. Ein direktes Upgrade unterstützt Veeam allerdings nur von Version 9a, Build 9.1.0.3107. Vor dem Umstieg sollten Admins daher ihre installierte Version prüfen.

Das Veeam Management Pack for Microsoft System Center ist eine Erweiterung für Microsoft System Center Operations Manager (SCOM). Damit überwachen Admins Veeam Backup & Replication sowie VMware-vSphere- und Microsoft-Hyper-V-Umgebungen in der SCOM-Konsole. Das Management Pack zeigt unter anderem den Zustand von Backup-Jobs und Infrastrukturkomponenten an, meldet Probleme und bietet Berichte zu Verfügbarkeit und Leistung. Es ist ein Monitoring- und Reporting-Werkzeug – nicht die Backup-Software selbst.

Die Gefahren

In einer Warnmeldung listet Veeam drei Sicherheitslücken auf: CVE-2026-107239 („hoch“), CVE-2026-107238 („hoch“) und CVE-2023-22793 („kritisch“). Alle drei ermöglichen unter unterschiedlichen Voraussetzungen die Ausführung von Schadcode aus der Ferne.

Für einen Angriff über CVE-2026-107239 muss der Angreifer Mitglied der Gruppe „Veeam Virtualization Extensions Users“ sein. CVE-2026-107238 kann ein authentifizierter Domänennutzer ausnutzen, um Code mit LocalSystem-Rechten auf einem Server mit dem Collector-Dienst auszuführen. Die kritische Lücke CVE-2023-22793 betrifft dagegen den Dienst „Veeam Virtualization Extensions“: Für einen Angriff ist laut Veeam keine Anmeldung nötig.

Veeam hat die Lücken nach eigenen Angaben bei internen Tests entdeckt und nennt in der Warnmeldung keine Hinweise auf eine bereits erfolgte Ausnutzung. Admins betroffener Installationen sollten das Sicherheitsupdate dennoch zeitnah einplanen.