Correction d'une faille critique dans Backup et Replication par Veeam!!

Salut à tous,

Aujourd'hui, on se retrouve pour parler de la correction d'une faille critique apportée par l'entreprise Veeam dans sa solution de sauvegarde et de réplication, Backup & Replication.

Suite à un correctif incomplet d'une autre faille critique exploitée par les opérateurs de ransomware Akira et Fog, cette nouvelle vulnérabilité a ouvert la voie à l'exécution de code distant. 
Sous la référence de CVE-2025-23120 (avec un score CVSS de 9,9), l'éditeur de solutions de résilience de données a dû publier un patch pour son produit dans le but de résoudre un problème de désérialisation qui peut entraîner l'exécution de code à distant en tant qu'utilisateur système sur le serveur Windows sous-jacent. 
Pour rappel, on va utiliser le processus de la sérialisation pour transformer des données en un flux d'octets pour la transmission à une autre application tandis que la désérialisation est l'inverse de ce processus. Le problème est que, lorsque celui-ci provient de sources non fiables, cela permet d'être à l'origine de nombreuses vulnérabilités liées à l'exécution de code à distance.
Il est apparu que ce défaut pouvait être exploité par n'importe quel compte authentifié faisant partie du groupe d'utilisateurs locaux sur l'hôte Windows.
Etant donné que les serveurs Veeam connectés à un domaine Active Directory sont plus à risque dans leurs configurations par défaut. En effet, le groupe d'utilisateurs du domaine est ajouté à celui en local sur les ordinateurs connecté au domaine. Ce qui permet aux attaquants d'utiliser le compte actif du PC lorsqu'ils vont exécuter du code malveillant sur n'importe quel ordinateur Windows du réseau pour exploiter la faille du serveur Backup & Replication quand il est relié au même domaine AD.
Concernant la remédiation, il est conseillé de mettre à jour Backup & Replication vers la version 12.31 ou d'installer le hotfix pour la version 12.3 si une mise à jour ne peut pas être réalisée immédiatement. A savoir que ce déploiement ne peut être réalisé uniquement si d'autres patchs d'urgence n'ont pas été appliqués précédemment.