リモート Windows ホストにインストールされているバージョンの Veeam ONE は、KB ID 4508 のベンダーのアドバイザリで開示されているように、以下を含む複数の脆弱性の影響を受けます。

  - Veeam ONE の脆弱性により、認証されていないユーザーが、Veeam ONE がその構成データベースにアクセスするために使用する SQL サーバー接続に関する情報を取得する可能性があります。このため、Veeam ONE 構成データベースをホストしている SQL Server でリモートでコードが実行される可能性があります。(CVE-2023-38547)

  - Veeam ONE の脆弱性により、Veeam ONE Power User ロールのユーザーが、XSS の使用を通じて Veeam ONE Administrator ロールのユーザーのアクセストークンを取得することができます。注意:  Veeam ONE 管理者ロールを持つユーザーによる操作が必要となるため、この脆弱性の深刻度は低くなっています。(CVE-2023-38549)

  - Veeam ONE の脆弱性により、Veeam ONE Read-Only User ロールのユーザーがダッシュボードスケジュールを表示できます。注意:  読み取り専用のロールを持つユーザーはスケジュールの表示のみが可能で変更はできないため、この脆弱性の深刻度は低くなっています。(CVE-2023-41723)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Veeam ONE 11.x < 11.0.0.1379 / 11.0.1.x < 11.0.1.1880 / 12.x < 12.0.1.2591 の複数の脆弱性 (KB4508)

critical Nessus プラグイン ID 185458

バージョン 1.0