Veeam Backup and Replicationで認可回避、修正版あり
Veeam Backup and Replicationに、認証なしで認可の確認をすり抜けられる重大な脆弱性が見つかり、修正版が出ています。13.0系と13.1系を使っているバックアップ基盤の管理者が対象で、該当する系統の修正版への更新が必要です。
急ぎ度: 早めに
CVSS v4が9.1で認証なしにネットワークから狙える種類ですが、実際の悪用は確認されたと公表されておらず、修正版が出ているため、バックアップ基盤として優先的に更新する段階です。
関係があるか
Veeam Backup and Replicationの13.0系または13.1系でバックアップサーバーを運用している組織が対象です。ネットワーク上で、バックアップサーバーに信頼できない端末や区画から届く環境は、特に優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Veeam Backup and Replication 13.0系 | 13.0以上13.0.3未満 | 13.0.3 |
| Veeam Backup and Replication 13.1系 | 13.1以上13.1.2未満 | 13.1.2 |
確かめ方
- 1Veeam Backup and Replicationのコンソールでバージョン情報を開き、ビルド番号が13.0系なら13.0.3未満、13.1系なら13.1.2未満かを確認します。
- 2バックアップサーバーが複数あるときは、サーバーごとに版を控えます。検証用や災害復旧用に立てたものも漏らさないようにします。
- 3バックアップサーバーに、どのネットワーク区画から到達できるかを、ファイアウォールやセグメント設計の資料で確認します。
- 4Veeamの告知（KB4948）で、自社の構成が影響範囲に入るかを照らし合わせます。
何が起きたか
Veeam Backup and Replicationに、CDP Coordinator Serviceの認可の確認を、認証されていない相手がすり抜けられる脆弱性が見つかりました。
Veeamは2026年10月27日に公表しています。重大度はcriticalで、CVSS v4は9.1です。
弱点の分類はCWE-636で、異常時に安全側へ倒れず、確認が緩んだ状態のまま処理が進んでしまう種類の問題を指します。ただし、どの処理でどう認可が外れるのかという細部は、公表されていません。
攻撃の流れ
-
1
ネットワークで到達
攻撃者が、バックアップサーバーのCDP Coordinator Serviceに通信で届く位置にいます。
-
2
認証なしで要求
ログインや資格情報を持たないまま、サービスに要求を送ります。
-
3
認可の確認を回避
本来は拒否されるはずの要求が、認可の確認をすり抜けて受け付けられます。
-
4
改ざんと停止
バックアップ基盤の設定やデータの書き換え、機能の停止につながり、連携先にも影響が及びます。
どう悪用されるか
認証は要りません。利用者の操作も不要で、ネットワーク経由で攻撃できる種類です。CVSS v4の評価では、攻撃の難しさは低いとされています。ただし、攻撃を成立させるには対象側に何らかの条件が必要とされており、その中身は公表されていません。
被害として評価されているのは、完全性と可用性への影響です。バックアップの設定やデータが書き換えられたり、バックアップや復元の機能が使えなくなったりするおそれがあります。情報の読み出しは、評価の主眼ではありません。
さらに、バックアップサーバーの先につながるシステムの完全性と可用性にも、高い影響が見込まれています。バックアップ基盤は多くのサーバーや仮想基盤に認証情報を持って接続しているため、この評価は実態に近いと考えられます。
今すぐやること
-
1
自社の版を洗い出す
バックアップサーバーのバージョンを確認し、13.0系が13.0.3未満、13.1系が13.1.2未満のものを更新対象として一覧にします。
-
2
更新前に構成バックアップを取る
更新で問題が起きたときに戻せるよう、Veeamの構成バックアップを最新の状態にし、保管先を確認しておきます。
-
3
修正版へ更新する
13.0系は13.0.3、13.1系は13.1.2へ更新します。手順と注意点はVeeamの告知（KB4948）に従います。更新後は版を再確認し、バックアップジョブと復元テストが通ることを見ます。
-
4
到達できる範囲を見直す
バックアップサーバーに、一般の業務端末や外部のネットワークから届かないかを確認します。管理用の端末と、必要なバックアップ対象や保管先だけに絞るのが望ましい構成です。
-
5
更新前後のログを見る
更新が遅れた期間のバックアップサーバーについて、身に覚えのない設定変更やジョブの削除、予定外の停止がないかを確認します。
すぐ更新できないとき
ベンダーが個別の回避策を示しているかどうかは、Veeamの告知（KB4948）で確認してください。修正版を当てるまでの間は、バックアップサーバーに届く通信を、管理端末とバックアップ運用に必要な機器だけに限ると、攻撃を受ける範囲を狭められます。
背景
Veeam Backup and Replicationは、仮想基盤や物理サーバーのバックアップと復元を一手に担う製品です。バックアップサーバーには、保護対象への接続情報や保管先の情報が集まります。そのため、ここを押さえられると、復旧の手段そのものを失いかねません。
同製品では過去にも、認証なしで悪用できる脆弱性が、ランサムウェア攻撃に使われたことが知られています。攻撃側は、暗号化の前にバックアップを壊しておけば身代金の交渉で優位に立てるため、バックアップ基盤を先に狙います。今回の脆弱性も、評価されている影響の中心は完全性と可用性で、バックアップの改ざんや停止という攻撃者の狙いと重なります。
よくある質問
Q.13.1系へ上げなくても、13.0系のまま修正できますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。
- 攻撃の成立に必要な対象側の条件と、CDP Coordinator Serviceが既定で動いているかどうかは、公表されていません。
- 13.0系より古い版が影響を受けるかどうかや、修正版を当てる以外の回避策の有無は、Veeamの告知（KB4948）で確認が必要です。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Veeam | Backup and Replication |
13.0 以上 13.0.3 未満 13.1 以上 13.1.2 未満 |
13.0.3 13.1.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability allowing an unauthenticated attacker to bypass authorization on the CDP Coordinator Service.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web veeam.com
- web nvd.nist.gov
- web github.com