Veeam ha publicado actualizaciones de seguridad para abordar una falla de seguridad crítica que impacta su software de copia de seguridad y replicación que podría conducir a la ejecución de código remoto.
La vulnerabilidad, rastreada como CVE-2025-23120lleva un puntaje CVSS de 9.9 de 10.0. Afecta 12.3.0.310 y todas las construcciones anteriores de la versión 12.
«Una vulnerabilidad que permite la ejecución de código remoto (RCE) por parte de usuarios de dominio autenticados», dijo la compañía en un aviso publicado el miércoles.
El investigador de seguridad Piotr Bazydlo de WatchToWr ha sido acreditado por descubrir e informar el defecto, que se ha resuelto en la versión 12.3.1 (construir 12.3.1.1139).
Según Bazydlo y el investigador Sina Kheirkhah, CVE-2025-23120 proviene del manejo inconsistente de Veeam del mecanismo de deserialización, lo que provoca una clase de lista permitida que pueda deserializarse para que pavimenten el camino para una deserialización interna que implementa un enfoque basado en bloques para prevenir la deserialización de la deserialización de los datos considerados por la compañía.
Esto también significa que un actor de amenaza podría aprovechar un dispositivo de deserialización que falta en la lista de blocklist, a saber, veeam.backup.esxmanager.xmlframeworkds y veeam.backup.core.backupsummary, para lograr la ejecución de código remoto.
«Estas vulnerabilidades pueden ser explotadas por cualquier usuario que pertenezca al grupo de usuarios locales en el host de Windows de su servidor Veeam», dijeron los investigadores. «Mejor aún: si se ha unido a su servidor al dominio, estas vulnerabilidades pueden ser explotadas por cualquier usuario de dominio».
El parche introducido por Veeam agrega los dos dispositivos a la lista de bloques existente, lo que significa que la solución podría volver a ser susceptible a riesgos similares si se descubren otros dispositivos de deserialización factibles.
El desarrollo se produce cuando IBM ha enviado correcciones para remediar dos errores críticos en su sistema operativo AIX que podría permitir la ejecución de comandos.
La lista de deficiencias, que afectan las versiones AIX 7.2 y 7.3, está a continuación –
- CVE-2024-56346 (Puntuación CVSS: 10.0): una vulnerabilidad de control de acceso inadecuado que podría permitir que un atacante remoto ejecute comandos arbitrarios a través del servicio maestro AIX Nimesis Nim
- CVE-2024-56347 (Puntuación CVSS: 9.6): una vulnerabilidad de control de acceso inadecuado que podría permitir que un atacante remoto ejecute comandos arbitrarios a través del mecanismo de protección del servicio AIX NIMSH SSL/TLS
Si bien no hay evidencia de que se haya explotado ninguno de estos defectos críticos en la naturaleza, se aconseja a los usuarios que se muevan rápidamente para aplicar los parches necesarios para asegurar contra posibles amenazas.
