Tipp: Update für Backup-Server und Linux-Agenten Veeam Backup & Replication schließt kritische CDP-Lücke

Anbieter zum Thema

Veeam Software GmbH

FAST LTA GmbH

Ein Fehler im CDP-Koordinator von Veeam Backup & Replication 13 erlaubt Zugriffe ohne Anmeldung. Zwei weitere Lücken betreffen die Wiederherstellung aus NAS-Sicherungen, eine dritte den Linux-Agenten. Der Beitrag zeigt, welche Builds betroffen sind und welche Rollen Administratoren prüfen sollten.

Veeam hat am 27.10.2026 das kumulative Update 13.1.2 für Backup & Replication veröffentlicht. Es schließt vier Sicherheitslücken. Betroffen sind die Windows-Installation und die Veeam Software Appliance der Versionen 13.0 und 13.1. Installationen der Reihe 12.x sind nicht betroffen.

Angreifer umgehen die Anmeldung am CDP-Koordinator

Continuous Data Protection (CDP) repliziert VMs unter VMware vSphere fortlaufend auf einen Zielhost. Der „Veeam CDP Coordinator Service“ steuert dabei die Richtlinien, legt Replikate über vCenter an und wählt die Proxys aus. Er erstellt und entfernt auch die langfristigen Wiederherstellungspunkte.

Über CVE-2026-108142 kann ein Angreifer ohne Anmeldung die Rechteprüfung dieses Dienstes umgehen. Der Hersteller bewertet die Lücke nach CVSS 4.0 mit 9.1 und damit als kritisch. Betroffen sind alle Builds bis 13.1.1.18 und bis 13.0.2.29. Behoben ist sie in den Builds 13.1.2.57 und 13.0.3.63.

Restore-Operatoren schreiben Dateien auf den Backup-Server

Über CVE-2026-108140 und CVE-2026-108141 mit einem CVSS-Wert von jeweils 5.9 kann ein angemeldeter Nutzer mit der Rolle „Restore Operator“ Dateien an beliebige Orte auf dem Backup-Server schreiben. Er nutzt dafür relative Pfadangaben. Voraussetzung ist die Kontrolle über den Inhalt einer gesicherten NAS-Freigabe.

Administratoren sollten deshalb prüfen, welche Konten die Rolle „Restore Operator“ haben und zugleich Schreibrechte auf gesicherte Freigaben besitzen. Trennen Administratoren beide Rechte, fehlt den zwei Lücken bis zur Installation des Updates die Voraussetzung.

Veeam korrigiert auch Agenten und Archivstufe

CVE-2026-105477 betrifft Veeam Agent for Linux bis Build 13.1.1.4. Ein lokaler Nutzer erweitert darüber seine Rechte, sofern ein Backup-Server den Agenten verwaltet. Die Lücke hat einen CVSS-Wert von 7.3, Build 13.1.2.11 behebt sie. Agenten der Reihen 13.0.x und 6.x sind nicht betroffen.

Die Veeam Software Appliance 13.1 erhält das Update über den Veeam Updater. Windows-Installationen der Version 13.1 folgen schrittweise. Administratoren mit Version 13.0 sollten auf 13.0.3 oder 13.1.2 wechseln. Der Hersteller rechnet damit, dass Angreifer veröffentlichte Patches zurückentwickeln und ungepatchte Systeme angreifen. Das Update entfernt außerdem kompromittierte Stammzertifikate von Comodo und emSign aus dem Zertifikatsspeicher und bringt OpenSSL 3.5.8 mit.

Für den Speicherbetrieb ändert 13.1.2 zwei Vorgaben. Bei Sicherungen von Freigaben aus NetApp ONTAP schließt die Software die Ordner „.copy_offload“ und „.anti_ransomware_analytics_log“ automatisch aus. Dient Veeam Data Cloud Vault Archive als Archivstufe eines Scale-Out-Backup-Repositorys, verlangt die Software ein Archivfenster von mindestens 90 Tagen.

Fazit

Veeam Backup & Replication 13.1.2 schließt eine kritische Lücke im CDP-Koordinator und zwei Pfadfehler bei der NAS-Wiederherstellung. Die Builds 13.1.2.57 und 13.0.3.63 beheben alle drei; verwaltete Linux-Agenten brauchen Build 13.1.2.11. Bis zur Installation sollten Restore-Operatoren keinen Schreibzugriff auf gesicherte Freigaben haben.

Speichertipp: Backups im Unternehmen richtig planen

Effektive Backup-Strategien für moderne IT-Infrastrukturen

(ID:51006866)