Veeam CVE-2025-64393: rola Backup Viewer i październikowa poprawka P4

6 października Veeam opublikował KB4934 dla Backup & Replication 12.3.2 P4. CVE-2025-64393 dotyczy kompilacji 12.3.2.4854 i wcześniejszych wydań gałęzi 12. Producent wskazuje, że wersja 13 nie jest objęta tym problemem.

Rekomendacja Breachroad na dziś: potwierdź kompilację działającego serwera kopii, zaplanuj aktualizację i sprawdź przydział roli Backup Viewer. W zadaniu wyznacz także osobę, która potwierdzi poprawne działanie po zmianie. Ochrona systemu odtwarzania powinna mieć konkretnego właściciela i mierzalny wynik.

Dostęp do podglądu jest warunkiem opisanej ścieżki

Rekord CVE-2025-64393 opisuje możliwość wykonania kodu jako SYSTEM przez użytkownika z rolą Backup Viewer. To warunek wymagający dostępu do konta, który należy uwzględnić w ocenie konkretnego środowiska.

W naszej ocenie nazwa roli nie wystarcza do uznania konta za nieistotne. Administrator powinien wskazać osoby i grupy, które mają taki dostęp, jego uzasadnienie oraz sposób wycofania. Dotyczy to również kont pozostawionych po projekcie, wsparciu zewnętrznym lub zastępstwie. Przegląd uprawnień wykonaj równolegle z pilną aktualizacją.

Zapisz, kto potrafi rozstrzygnąć nieoczekiwane logowanie i gdzie kieruje zgłoszenie osoba obsługująca konsolę. Jeżeli konto jest współdzielone, oceń możliwość przypisania aktywności do konkretnej osoby. To zalecenia Breachroad dotyczące organizacji dostępu, a nie dowód użycia podatności w Twojej firmie.

Zakończ aktualizację potwierdzeniem wyniku

Informacja o wydaniu wskazuje poprawioną kompilację 12.3.2.4934 oraz sposób sprawdzenia numeru w konsoli: Help > About. Przed zmianą potwierdź właściwą ścieżkę aktualizacji dla używanej wersji i komponentów.

Nasza propozycja dla właściciela usługi: ustal okno prac, kontakt do osoby prowadzącej zmianę i kryterium zakończenia. W dokumentacji zapisz numer przed aktualizacją i numer po niej. Uzgodnij też postępowanie na wypadek problemu, aby dyżur wiedział, kiedy wezwać dodatkowe wsparcie i kto podejmuje decyzję o dalszych krokach.

Po aktualizacji sprawdź wynik uzgodnionych zadań oraz dostępność procesu odtwarzania. Zakres kontroli dobierz do środowiska i znaczenia chronionych usług. Powodzenie instalatora oraz potwierdzone działanie usługi to dwa różne wyniki, które warto odnotować w zadaniu. Właściciel biznesowy powinien wiedzieć, kiedy kontrola została zakończona.

Oddziel poprawkę od wyjaśnienia podejrzanej aktywności

Breachroad rekomenduje zgłaszać nietypowe logowania, zmiany konfiguracji lub zdarzenia systemowe zespołowi reagowania. Przekaż czas obserwacji, dotknięty host, użyte konto i dostępne informacje o zmianach. Zachowanie historii pozwala porównać aktywność z rzeczywistymi pracami administracyjnymi.

Nie uruchamiaj przypadkowego demonstratora podatności na serwerze kopii, aby sprawdzić, czy „problem występuje”. Ocenę ekspozycji można rozpocząć od wersji, uprawnień i konfiguracji. Jeśli pojawią się przesłanki przejęcia, koordynator powinien ustalić zakres dalszej analizy oraz plan bezpiecznego utrzymania możliwości odtworzenia usług.

Sama informacja o podatnej kompilacji nie określa, czy kopie zostały naruszone. Potrzebne są ustalenia dotyczące konkretnego zdarzenia i środowiska. W komunikacie dla kierownictwa rozdziel potwierdzone fakty, otwarte pytania oraz decyzje wymagające właściciela. Dzięki temu organizacja nie myli zadania aktualizacyjnego z zakończonym dochodzeniem.

Przećwicz przekazanie między zespołami

Wyobraźmy sobie fikcyjną firmę, w której administrator zauważa logowanie dawnego konta dostawcy. Osoba z dyżuru nie zna projektu, a menedżer pyta, czy można liczyć na odtworzenie usług. W ćwiczeniu Breachroad zespół ustala koordynatora, sprawdza historię dostępu i przygotowuje komunikat oparty na dostępnych danych.

Wynikiem rozmowy powinny być konkretne ustalenia: kto zna aktualną wersję, kto zatwierdza zmianę i kto potwierdza gotowość odtwarzania. Przewodnik po strategii kopii zapasowych rozwija ten kontekst. Na szkoleniu cyberbezpieczeństwa dla organizacji możemy przećwiczyć z IT i menedżerami obsługę takiego zgłoszenia oraz podejmowanie decyzji podczas niepewności.