Veeam Backup for Microsoft 365にコード実行の脆弱性
Veeam Backup for Microsoft 365の組織移行の相手側から、移行元サーバーの設定データベースが操作され、PostgreSQLのサービスアカウント権限でコードを実行される脆弱性が見つかりました。8.0から8.5.0.1014までの版が対象で、複数のテナントを預かる環境ほど影響が大きくなります。まず版を確認し、ベンダーのKB4957で修正版を調べてください。
急ぎ度: 早めに
CVSS v4は9.0のcriticalでバックアップ基盤上のコード実行に至りますが、KEVへの掲載はなく、悪用には認証と組織移行の相手という立場が必要なため、至急ではなく早めの更新が妥当です。
関係があるか
Veeam Backup for Microsoft 365 8.0から8.5.0.1014までを運用している組織が対象です。複数の組織やテナントの設定を1台で扱う構成や、別のサーバーと組織移行の関係にある構成では、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Veeam Backup for Microsoft 365 | 8.0以上、8.5.0.1014以下 | ベンダーのKB4957に記載の修正版 |
確かめ方
- 1Veeam Backup for Microsoft 365のコンソールで製品の版を開き、8.0から8.5.0.1014の範囲に入るかを確認する
- 2複数台のサーバーを運用している場合は、すべてのサーバーで版を確認する
- 3組織移行（organization transfer）を使っている、または過去に使ったサーバーがないかを、運用担当者に確認する
- 4委託先や子会社など、別の管理者が運用するサーバーと移行の関係がないかを洗い出す
何が起きたか
Veeam Backup for Microsoft 365の組織移行（organization transfer）に脆弱性があります。移行の相手側として認証されたユーザーが、移行元サーバーの設定データベースに不正な操作を加えられます。結果として、ほかのテナントの設定データを読み書きされ、最終的にPostgreSQLのサービスアカウントの権限でコードを実行されるおそれがあります。
原因はSQLインジェクション（CWE-89）です。相手側から届く情報が、移行元サーバーの設定データベースへの命令として意図しない形で扱われてしまいます。
公開日は2026年10月27日で、ベンダーのVeeamがKB4957で告知しています。
攻撃の流れ
-
1
移行相手として認証
組織移行の相手側として、移行元サーバーに認証済みの立場で接続します。
-
2
不正なSQLが到達
相手側から届いた内容が、移行元サーバーの設定データベースへの命令として扱われます。
-
3
設定データの読み書き
テナントの境界を越えて、ほかの組織の設定データが読み書きされます。
-
4
コード実行
PostgreSQLのサービスアカウントの権限で、サーバー上のコードが実行されます。
どう悪用されるか
悪用にはネットワーク経由の接続と認証が必要です。必要な権限は低く、組織移行の相手側（peer）として扱われる立場であれば足ります。利用者の操作は要りません。ただしCVSS v4の評価に攻撃要件ありとあるため、何らかの前提条件も必要とみられます。
悪用に成功すると、移行元サーバーの設定データベースが読み書きされ、ほかのテナントの設定データにも手が届きます。さらにPostgreSQLのサービスアカウントとしてコードが動くため、サーバーの機密性・完全性・可用性のすべてに影響します。CVSS v4では、サーバーの外側のシステムへの影響も高いと評価されています。
今すぐやること
-
1
対象の版かどうかを確認する
運用中のすべてのVeeam Backup for Microsoft 365サーバーで版を確認し、8.0から8.5.0.1014の範囲に入るものを洗い出します。
-
2
KB4957で修正版を確認して更新する
ベンダーの告知で修正版と更新手順を確認し、修正版に更新します。組織移行の関係にあるサーバーは、片方だけでなく関係するすべてを更新対象にすると確実です。
-
3
組織移行の相手と権限を棚卸しする
どのサーバーが移行の相手になっているか、相手側の管理者が誰かを確認し、不要になった関係や権限は整理します。
-
4
更新後に不審な挙動を点検する
PostgreSQLのサービスが想定外のプロセスを起動していないか、設定データに身に覚えのない変更がないかを見ます。更新前から点検の対象期間に含めると、見落としが減ります。
背景
Veeam Backup for Microsoft 365は、Microsoft 365のメールやファイルなどを自社の管理下にバックアップする製品です。サーバーは設定の保管にPostgreSQLを使っており、今回の脆弱性はその設定データベースが入口になります。複数の組織やテナントを1台で預かる構成では、1か所の不備がテナントの境界を越える点が、この脆弱性の重さにつながっています。
バックアップ基盤は、侵入後に復旧手段を断つ狙いで攻撃者に狙われやすい対象です。実際に、Veeamの別製品の脆弱性がランサムウェア攻撃で悪用された例も知られています。今回の脆弱性が同じように使われたという報告はありませんが、サーバー上でコードが動く性質は、バックアップデータや接続先の資格情報の扱いという面で、更新の優先度を上げる理由になります。
よくある質問
Q.組織移行の関係にある2台のうち、どちらを先に更新すればよいですか。
まだ分かっていないこと
- 修正版の版番号と、更新できない場合の回避策の有無は、KB4957で確認する必要があります。
- 実際の攻撃での悪用が確認されたという情報は公表されておらず、攻撃要件の詳細や、組織移行を使っていない環境への影響の有無も分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Veeam | Backup for Microsoft 365 |
8.0 〜 8.5.0.1014 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability allowing an authenticated organization-transfer peer to inject SQL into the configuration database of the source Veeam Backup for Microsoft 365 server, leading to cross-tenant read and write of configuration data and remote code execution as the PostgreSQL service account.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web support@hackerone.com
- web nvd.nist.gov
- web github.com