Veeam Backup & Replication Üzerinden Kimlik Doğrulamalı Uzaktan Kod Çalıştırma Zafiyeti

Veeam Backup & Replication Üzerinden Kimlik Doğrulamalı Uzaktan Kod Çalıştırma Zafiyeti

CVE-2025-23121, Veeam Backup & Replication (VBR) ürününde keşfedilen ve domain ortamına dahil edilmiş (domain-joined) sistemlerde etkili olan kritik bir güvenlik açığıdır. Bu zafiyet, kimlik doğrulaması yapmış ancak ayrıcalıkları sınırlı bir domain kullanıcısının, VBR sunucusu üzerinde yetkisiz şekilde uzaktan kod çalıştırmasına (Remote Code Execution - RCE) olanak tanır.

Zafiyetin temel nedeni, Veeam Backup sunucusunun Windows domain entegrasyonu sırasında güvenlik sınırlarını yeterince izole edememesidir. Özellikle Veeam'in servisleriyle etkileşimde bulunan bileşenlerin, domain üzerinden kimlik doğrulaması yapıldığında belirli kontrol noktalarında kullanıcı girdilerine karşı savunmasız kalması durumu söz konusudur.

Saldırgan, önceden bir domain hesabına sahip olması (örneğin düşük yetkili bir servis veya kullanıcı hesabı) durumunda, bu açığı tetikleyerek VBR sunucusu üzerinde kendi komutlarını çalıştırabilir. Bu, aşağıdaki gibi senaryolarda büyük risk yaratır:

• Backup verilerine yetkisiz erişim
• Kritik yapılandırma dosyalarının değiştirilmesi
• Fidye yazılımı (ransomware) yüklenmesi
• Diğer ağ sistemlerine sıçrama (lateral movement)

Etkilenen Sistemler

Veeam Backup & Replication:
Tüm 12.x serisinin 12.3.1.1139 ve daha eski sürümleri, ayrıca resmi destek dışı eski sürümler.

Ayrıca bağlantılı olarak üç yama:

• CVE‑2025‑24286 (CVSS 7.2) – yedek operatörü rolü kullanıcılarının RCE oluşturma izni
• CVE‑2025‑24287 (CVSS 6.1) – Windows Agent üzerinden yerel yetki yükseltmesine yol açabilir.

IoC’ler

-

Çözüm Önerileri

• Veeam Backup & Replication’i 12.3.2 build 12.3.2.3617 sürümüne yükseltilmesi gerekiyor.
• Windows Agent ise 6.3.2 build 6.3.2.1205 sürümüne güncellenmesi gerekiyor.

CVE / CWE

CVE-2025-23121

Ek Bilgiler

• https://nvd.nist.gov/vuln/detail/CVE-2025-23121
• https://www.veeam.com/kb4743

* CVSS 3.1 skoru (10 üzerinden) 7.0-8.9 olanlar “yüksek”, 9.0-10.0 olanlar “kritik” zafiyet olarak değerlendirilmektedir.