Trusted Design

解説:

CVE-2022-26501について、以下の観点から解説します。

1. 脆弱性の概要

CVE-2022-26501は、Veeam Backup & Replication 10.xおよび11.xに存在する不適切なアクセス制御の脆弱性です。この脆弱性は、デフォルトでTCP 9380ポートで稼働するVeeam Distribution Serviceが、認証されていないユーザーによる内部Veeam API機能へのアクセスを許してしまうことに起因します。結果として、攻撃者はVeeam APIに不正な入力を送信し、悪意のあるコードをアップロードして実行できる可能性があります。

1.1 影響

この脆弱性が悪用されると、認証なしにリモートでコードが実行されるおそれがあります（RCE）。これにより、攻撃者が標的システムを完全に制御する可能性があり、ランサムウェアグループなどのサイバー犯罪者にとって魅力的な攻撃ベクトルとなります。

1.2 深刻度

CVSSv3スコアは9.8（Critical、緊急）と評価されており、非常に深刻な脆弱性です。また、本脆弱性は実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はVeeam Backup & Replication製品自体に存在するため、特定のOSバージョンが直接影響を受けるわけではありません。対象となるのは以下のVeeam製品バージョンです。 * Veeam Backup & Replication 10.x * Veeam Backup & Replication 11.x

2.2 影響を受ける設定

• Veeam Backup & Replication 10.xおよび11.xが導入されている環境
• 特に、デフォルトでTCP 9380ポートで稼働するVeeam Distribution Serviceが有効な状態
• Veeam Backup & ReplicationサーバーおよびProtection Groupで配布サーバーとして指定されたサーバー

3. 影響を受けた時の兆候

具体的な「兆候」として、悪用された際に発生する特定のシステムログやエラーメッセージなどは明確に示されていません。しかし、この脆弱性が悪用された場合、以下のような兆候が現れる可能性があります。 * システム上での予期しないリモートからのコード実行 * Veeam Backup & Replicationサーバーの制御が奪われる * Veeam Distribution Service (TCP 9380) を介した異常なネットワーク通信

4. 推奨対策

4.1 本対策

速やかに、ベンダーから提供されているパッチを適用することが強く推奨されます。 * Veeam Backup & Replication 11a：ビルド 11.0.1.1261 P20220302 へアップデート * Veeam Backup & Replication 10a：ビルド 10.0.1.4854 P20220304 へアップデート * Veeam Backup & Replication 9.5を使用している場合：サポートされている製品バージョンへのアップグレードが必要です。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合は、以下の暫定回避策を実施してください。 * Veeam Distribution Serviceの停止と無効化：Veeam Backup & ReplicationサーバーおよびProtection Groupで配布サーバーとして指定されているサーバー上で、Veeam Distribution Serviceを停止し、無効にしてください。

5. 他に解説すべき観点

• 攻撃のメカニズム: 本脆弱性は、Veeam Distribution Service（デフォルトでTCP 9380で実行）が認証されていないユーザーによる内部Veeam API機能へのアクセスを許可することによって発生します。攻撃者はVeeam APIに悪意のある入力を送信することで、悪意のあるコードをアップロードして実行できます。
• 悪用状況: 本脆弱性（CVE-2022-26501）は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に追加されており、実際に積極的に悪用されていることが確認されています。
• 発見者: この脆弱性は、Positive Technologies社によって発見されました。

参照サイト

• CVE-2022-26501 | AttackerKB - Vulnerability & Exploit Database
• Vulnerabilities (CVE-2022-26500, 2022-26501) in Veeam - Blumira
• CVE-2022-26501 - Veeam Backup & Replication - Broken Access Control · Issue #12650 · projectdiscovery/nuclei-templates - GitHub
• Critical Veeam Backup & Replication 9.5 | 10 | 11
• NVD - CVE-2022-26501
• Veeam製バックアップ製品を狙う脆弱性攻撃が発生 - 早急に対処を - Security NEXT
• iPhoneやMicrosoft Defenderの脆弱性の活発な悪用確認、更新を - マイナビニュース
• CVE Program Container (CVE-2022-26501) | HOL Guard CVE
• Vulnerability Summary for the Week of April 4, 2022 - CISA
• CVE-2022-26809: Undefined Security Weakness | Rapid7 Vulnerability Database