Multiple vulnerabilities in Veeam ONE, including its agents and services running with elevated privileges, allow authenticated users or unauthenticated attackers to perform unauthorized actions such as remote code execution, arbitrary file reads, access control bypass on shared report links, SQL injection, and local privilege escalation. Exploitation can lead to unauthorized data access, system manipulation, and full compromise of affected systems, with some vulnerabilities exploitable remotely without authentication.
De kwetsbaarheden betreffen meerdere softwarecomponenten van Veeam ONE, waaronder agents en services die met verhoogde privileges draaien, evenals systemen die rapporten delen via gedeelde links en backend databases gebruiken. De kwetsbaarheden maken het mogelijk dat gebruikers met verschillende privilege-niveaus of zelfs onbevoegde aanvallers acties uitvoeren die normaal niet toegestaan zijn. Dit omvat het uitvoeren van willekeurige code op servers of agent hosts, het lezen van arbitraire bestanden zonder authenticatie, het omzeilen van toegangscontroles op gedeelde rapportlinks, het uitvoeren van SQL-injectieaanvallen op backend databases, en het lokaal verhogen van privileges binnen specifieke servicecontexten zoals de Reporter service. Exploitatie kan leiden tot ongeautoriseerde toegang tot gevoelige data, manipulatie van systemen, en volledige compromittering van de getroffen systemen. Sommige kwetsbaarheden vereisen lokale toegang, terwijl andere op afstand en zonder authenticatie kunnen worden misbruikt.