Veeam Management Packに認証不要のRCE脆弱性、修正版あり
Veeam Management Pack for Microsoft System Centerに、認証なしでサーバー上のコードを実行されるおそれのある脆弱性が見つかりました。9.0以上13.1.0.334未満を使っている組織が対象で、修正版は13.1.0.334です。監視基盤の担当者は、自社の版を確認し、計画を立てて更新してください。
急ぎ度: 早めに
CVSS v4は9.3で認証なしのネットワーク経由で悪用でき、修正版も出ていますが、実際の攻撃での悪用確認を示す情報は今のところありません。
関係があるか
Veeam Management Pack for Microsoft System Centerを導入し、Veeam Virtualization Extensions serviceが動いているサーバーを持つ組織が対象です。System Centerで仮想化基盤やバックアップ環境を監視している企業のうち、版が古いままの環境が当てはまります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Veeam Management Pack for Microsoft System Center | 9.0以上、13.1.0.334未満 | 13.1.0.334 |
確かめ方
- 1System Centerの監視サーバーと、Veeamの拡張サービスを動かしているサーバーを洗い出し、Veeam Management Packが入っているかを調べます。
- 2対象サーバーの「プログラムと機能」、または下のコマンドで、Veeam関連製品の版を確認します。13.1.0.334より前なら影響を受けます。
- 3Veeam Virtualization Extensions serviceがどのネットワークから到達できるかを、ネットワーク担当者と確認します。
何が起きたか
Veeam Management Pack for Microsoft System Centerに含まれるVeeam Virtualization Extensions serviceに、リモートからコードを実行されるおそれのある脆弱性が見つかりました。認証は要らないため、該当サービスに通信が届く環境では、ログインしていない第三者がサーバーを操作できる可能性があります。
原因は、外部から受け取ったデータを元のオブジェクトに戻す処理にあります。分類はCWE-502です。細工されたデータが渡されると、サーバーが想定していないコードを実行してしまいます。
CVSS v4は9.3で、深刻度はcriticalです。公開日は2026年10月29日で、ベンダーはVeeamのKB4961で情報を案内しています。
攻撃の流れ
-
1
サービスへ到達
攻撃者が、Veeam Virtualization Extensions serviceにネットワークから接続できる位置を確保します。
-
2
不正データ送信
認証を経ずに、細工したデータをサービスへ送ります。
-
3
復元処理で実行
サーバーがデータを元に戻す処理の中で、攻撃者の意図したコードが動きます。
-
4
サーバー掌握
監視サーバー上のデータの読み取り、改ざん、停止が可能になります。
どう悪用されるか
悪用に認証は要りません。ネットワークから該当サービスに通信が届けば成立し、攻撃の難易度は低く、利用者の操作も必要ありません。社内ネットワークの内側でも、到達できる端末が1台でも侵害されていれば足がかりになります。
成功すると、対象サーバー上で攻撃者がコードを実行できます。情報の漏えい、改ざん、サービス停止のいずれも高い影響が見込まれます。監視サーバーはほかのサーバーの情報や認証情報を集めていることが多く、掌握された場合は、その周辺の調査も必要になります。
今すぐやること
-
1
対象の洗い出しと版の確認
Veeam Management Packを入れているサーバーを一覧にし、版が13.1.0.334より前かどうかを調べます。
Get-Package -Name "*Veeam*" -
2
修正版に更新する
対象サーバーを修正版の13.1.0.334に更新します。手順と注意点はVeeamのKB4961で確認し、監視が一時止まることを関係部署に伝えたうえで作業します。
-
3
通信経路を絞る
更新までの間も、該当サービスへ通信できる端末を管理用ネットワークに限ります。インターネット側から届く設定になっていないかも見ます。
-
4
更新後に動作と履歴を確認する
監視が正常に動いているかを確かめ、更新前の期間に見覚えのない接続やプロセスがなかったかをログで見ます。
すぐ更新できないとき
ベンダーの案内を確認する前提で、暫定的に、Veeam Virtualization Extensions serviceへの通信を、必要な管理サーバーだけに制限します。ファイアウォールやネットワーク分離で、不要な端末やインターネットからの到達を断つ方法です。ただし根本的な解決にはならないため、修正版への更新は進めてください。
背景
Veeam Management Pack for Microsoft System Centerは、Microsoft System Centerの監視画面から、仮想化基盤やVeeamのバックアップ環境の状態を見られるようにする拡張製品です。障害の兆候を集める役目なので、多くの場合、管理対象のサーバーやバックアップ基盤の情報にアクセスできる権限を持っています。そのため、監視用のサーバーが乗っ取られた場合は、監視対象にも影響が及ぶことがあります。
CWE-502に当たる、受け取ったデータの復元処理に起因する脆弱性は、Veeamの別製品でも過去に問題になりました。Veeam Backup & Replicationの脆弱性は、実際の攻撃で悪用されています。今回の製品は別物で、悪用の確認は報じられていませんが、同じ系統の脆弱性が、バックアップや監視のようにシステム全体を見渡す製品で見つかった点は意識しておきたいところです。
よくある質問
Q.修正版に更新するだけで、調査は不要ですか。
Q.System Centerを使っていても、この拡張を入れていなければ関係ありませんか。
まだ分かっていないこと
- 実際の攻撃での悪用が確認されているか、攻撃用のコードが出回っているかは、分かっていません。最新の状況はVeeamのKB4961で確認してください。
- 9.0より前の版が影響を受けるか、また、Veeam Virtualization Extensions serviceが初期設定で動くかどうかは、分かっていません。
- ベンダーが推奨する回避策があるかは、分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Veeam | Management Pack for Microsoft System Center |
9.0 以上 13.1.0.334 未満 |
13.1.0.334 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability allowing an unauthenticated attacker to perform remote code execution (RCE) on servers running the Veeam Virtualization Extensions service of Veeam Management Pack for Microsoft System Center.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web support@hackerone.com
- web nvd.nist.gov
- web github.com