Veeam ha publicado actualizaciones de seguridad para afrontar una defecto de seguridad crítica que impacta su software de copia de seguridad y replicación que podría conducir a la ejecución de código remoto.
La vulnerabilidad, rastreada como CVE-2025-23120lleva un puntaje CVSS de 9.9 de 10.0. Afecta 12.3.0.310 y todas las construcciones anteriores de la interpretación 12.
«Una vulnerabilidad que permite la ejecución de código remoto (RCE) por parte de usuarios de dominio autenticados», dijo la compañía en un aviso publicado el miércoles.
El investigador de seguridad Piotr Bazydlo de WatchToWr ha sido acreditado por descubrir e informar el defecto, que se ha resuelto en la interpretación 12.3.1 (construir 12.3.1.1139).
Según Bazydlo y el investigador Sina Kheirkhah, CVE-2025-23120 proviene del manejo inconsistente de Veeam del mecanismo de deserialización, lo que provoca una clase de letanía permitida que pueda deserializarse para que pavimenten el camino para una deserialización interna que implementa un enfoque basado en bloques para preparar la deserialización de la deserialización de los datos considerados por la compañía.
Esto incluso significa que un actor de amenaza podría beneficiarse un dispositivo de deserialización que yerro en la letanía de blocklist, a enterarse, veeam.backup.esxmanager.xmlframeworkds y veeam.backup.core.backupsummary, para obtener la ejecución de código remoto.
«Estas vulnerabilidades pueden ser explotadas por cualquier afortunado que pertenezca al familia de usuarios locales en el host de Windows de su servidor Veeam», dijeron los investigadores. «Mejor aún: si se ha unido a su servidor al dominio, estas vulnerabilidades pueden ser explotadas por cualquier afortunado de dominio».
El parche introducido por Veeam agrega los dos dispositivos a la letanía de bloques existente, lo que significa que la posibilidad podría retornar a ser susceptible a riesgos similares si se descubren otros dispositivos de deserialización factibles.
El explicación se produce cuando IBM ha enviado correcciones para remediar dos errores críticos en su sistema operante AIX que podría permitir la ejecución de comandos.
La letanía de deficiencias, que afectan las versiones AIX 7.2 y 7.3, está a continuación –
- CVE-2024-56346 (Puntuación CVSS: 10.0): una vulnerabilidad de control de ataque inadecuado que podría permitir que un atacante remoto ejecute comandos arbitrarios a través del servicio músico AIX Nimesis Nim
- CVE-2024-56347 (Puntuación CVSS: 9.6): una vulnerabilidad de control de ataque inadecuado que podría permitir que un atacante remoto ejecute comandos arbitrarios a través del mecanismo de protección del servicio AIX NIMSH SSL/TLS
Si proporcionadamente no hay evidencia de que se haya explotado nadie de estos defectos críticos en la naturaleza, se aconseja a los usuarios que se muevan rápidamente para aplicar los parches necesarios para consolidar contra posibles amenazas.
