Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Veeam Service Provider Console a ONE opravují 10 zranitelností
Veeam opravuje 10 zranitelností ve 2 produktech, přičemž 3 z nich jsou kritické [1][2]. Oprava pro Veeam Service Provider Console se nachází ve verzi 9.3.0.35057 a pro Veeam ONE ve verzi 13.1.0.7034 [1][2]. Nejzávažnější zranitelnosti jsou uvedeny níže.
Neautentizovanému vzdálenému útočníkovi je ve Veeam Service Provider Console umožněno obejitím běžného způsobu autentizace vydávat se za spravovaného agenta a získat tak jeho přístupové údaje [1].
Zranitelnost se nachází v produktu:
- Veeam Service Provider Console; >=9.0,<=9.2.1.33875;
CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-58073 na cve.org, NVD
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 8. 2026.
Autentizovanému vzdálenému útočníkovi je ve Veeam Service Provider Console umožněno zapisovat libovolné soubory na serveru pro správu, což může vést ke spuštění kódu [1].
Zranitelnost se nachází v produktu:
- Veeam Service Provider Console; >=9.0,<=9.2.1.33875;
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-58072 na cve.org, NVD
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 8. 2026.
Neověřený vzdálený útočník může ve Veeam ONE spouštět kód na stroji s nainstalovaným agentem [2].
Zranitelnost se nachází v produktu:
- Veeam ONE; >=13.0, <=13.0.2.6723;
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
Více informací:
- CVE-2026-64633 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 4. 8. 2026.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dne 5. 8. 2026.