Veeam修复CVSS评分9.0的严重远程代码执行漏洞

Veeam公司已发布安全更新，修复其备份与复制软件中的多个安全漏洞，其中包括一个可能导致远程代码执行的"严重"漏洞。

该漏洞编号为CVE-2025-59470，CVSS评分高达9.0分。

Veeam在周二发布的安全公告中表示："该漏洞允许备份操作员或磁带操作员通过发送恶意间隔或排序参数，以postgres用户身份执行远程代码执行攻击。"

根据Veeam的产品文档，拥有备份操作员角色的用户可以启动和停止现有任务、导出备份、复制备份以及创建VeeamZip备份。而磁带操作员用户则可以运行磁带备份任务或磁带目录任务、弹出磁带、导入和导出磁带、将磁带移动到媒体池、复制或擦除磁带，以及设置磁带密码。

换句话说，这些角色被视为高权限用户，企业组织应该已经采取了充分的防护措施，防止这些权限被滥用。

尽管CVSS评分很高，但Veeam表示正将此缺陷视为"高严重性"级别，并指出如果客户遵循Veeam推荐的安全准则，利用该漏洞的机会将会减少。

该公司还修复了同一产品中的其他三个安全漏洞：

CVE-2025-55125（CVSS评分：7.2）- 该漏洞允许备份操作员或磁带操作员通过创建恶意备份配置文件以root身份执行远程代码执行攻击

CVE-2025-59468（CVSS评分：6.7）- 该漏洞允许备份管理员通过发送恶意密码参数以postgres用户身份执行远程代码执行攻击

CVE-2025-59469（CVSS评分：7.2）- 该漏洞允许备份操作员或磁带操作员以root身份写入文件

所有四个已识别的漏洞都影响Veeam备份与复制13.0.1.180版本以及所有更早的13版本构建。这些漏洞已在备份与复制13.0.1.1071版本中得到修复。

虽然Veeam没有提及这些漏洞在实际环境中被利用的情况，但考虑到该软件的漏洞过去曾被威胁行为者利用，用户必须立即应用相关修复程序。

Q&A

Q1：CVE-2025-59470漏洞的危险程度有多高？

A：该漏洞CVSS评分高达9.0分，被归类为严重漏洞。它允许备份操作员或磁带操作员通过发送恶意参数以postgres用户身份执行远程代码执行攻击，具有很高的安全风险。

Q2：哪些Veeam备份与复制版本受到这些漏洞影响？

A：所有四个漏洞都影响Veeam备份与复制13.0.1.180版本以及所有更早的13版本构建。用户需要升级到13.0.1.1071版本来修复这些安全问题。

Q3：企业如何防范这些Veeam备份软件漏洞？

A：企业应该立即将Veeam备份与复制软件升级到最新的13.0.1.1071版本，同时严格管理备份操作员和磁带操作员等高权限用户角色，并遵循Veeam推荐的安全准则来减少被利用的风险。