ヴィーム、バックアップ基盤の脆弱性4件を修正…認証なしで認可回避、CVSS9.1とは？

　ヴィーム（Veeam Software）は10月27日、バックアップ製品「Veeam Backup & Replication（VBR）」に見つかった脆弱性4件を修正したと公表した。同社が公開したサポート情報によると、修正版はVBR 13.1.2（ビルド13.1.2.57）と13.0.3（ビルド13.0.3.63）。あわせて、Linux向けの「Veeam Agent for Linux」13.1.2（ビルド13.1.2.11）も公開した。4件はいずれも、脆弱性報奨金プラットフォームのHackerOneを通じて報告されたという。

　最も深刻なのが「CVE-2026-108142」。CDP Coordinator Serviceにおいて、認証されていない攻撃者が認可を回避できる脆弱性で、深刻度は「Critical」、CVSS v4.0のスコアは9.1とされた。対象はWindows版のVBRと「Veeam Software Appliance」で、13.1.1.18以前の13.1系ビルドと13.0.2.29以前の13.0系ビルドが影響を受ける。12.x系は影響を受けないという。

　「CVE-2026-108140」と「CVE-2026-108141」は、いずれも深刻度「Medium」、スコアは5.9。Restore Operatorロールを持つ認証済みユーザーで、バックアップ対象のNAS共有の内容も制御できる場合に、相対パスのトラバーサルによってバックアップサーバー上の任意のパスにファイルを書き込める可能性があると説明している。2件の説明とスコアは同じで、影響を受けるビルドと修正版は「CVE-2026-108142」と共通だ。

　「CVE-2026-105477」は、Veeam Agent for Linuxにおけるローカル権限昇格の脆弱性。深刻度は「High」でスコアは7.3。VBRで管理されているインストールだけが対象で、13.1.1.4以前の13.1系ビルドが該当する。13.0.xや6.xは影響を受けないとしている。

　ヴィームはサポート情報の冒頭で、脆弱性と修正が公開されると、攻撃者がパッチを解析して未適用の環境を悪用しようとする可能性が高いと指摘。最新版への更新を急ぐよう求めた。今回のサポート情報には、4件の悪用の有無に関する記載はない。バックアップを狙うランサムウェア攻撃から守る方法は、本誌でも取り上げてきた。