Cảnh Báo Lỗ Hổng Nghiêm Trọng CVE-2024-42448 trong Veeam Service Provider Console (VSPC)

Ngày 3/12/2024, Veeam Software công bố bản cập nhật bảo mật để xử lý hai lỗ hổng nghiêm trọng trong nền tảng Veeam Service Provider Console (VSPC).

Lỗ hổng CVE-2024-42448 được đánh giá mức nghiêm trọng với điểm CVSS là 9.9, cho phép thực thi mã từ xa (RCE) trên hệ thống bị ảnh hưởng. Đây là một nguy cơ lớn đối với an toàn dữ liệu và hoạt động của các nhà cung cấp dịch vụ (service provider).

Lỗ hổng CVE-2024-42448 đặc biệt nguy hiểm vì nó cho phép kẻ tấn công kiểm soát toàn bộ hệ thống VSPC, gây ảnh hưởng trực tiếp đến hoạt động và dữ liệu của khách hàng.

Chi Tiết Lỗ Hổng

1. CVE-2024-42448 (CVSS 9.9)

Loại lỗ hổng: Remote Code Execution (RCE).

Tác động:

Kẻ tấn công có thể sử dụng các tác nhân quản lý (authorized management agents) để khai thác và xâm nhập máy chủ VSPC, từ đó thực thi mã tùy ý. Nếu khai thác thành công, kẻ tấn công có khả năng:

  • Kiểm soát hoàn toàn máy chủ VSPC.
  • Tiếp cận dữ liệu nhạy cảm của khách hàng.
  • Gây gián đoạn hoạt động sao lưu và phục hồi dữ liệu.

2. CVE-2024-42449 (CVSS 7.1)

Loại lỗ hổng: Tấn công nâng quyền và xóa tệp.

Tác động:

  • Trích xuất hàm băm NTLM từ các tài khoản dịch vụ của VSPC.
  • Xóa các tệp quan trọng trên máy chủ.
  • Mở rộng quyền truy cập và làm tăng mức độ tổn hại của hệ thống.

Phiên Bản Bị Ảnh Hưởng

  • Tất cả các phiên bản Veeam Service Provider Console từ 8.1.0.21377 trở về trước, bao gồm cả các bản build 8 và 7.
  • Các phiên bản không còn được hỗ trợ (End-of-Life - EOL) cũng có thể tồn tại lỗ hổng dù chưa được kiểm tra cụ thể.

Giải Pháp Khắc Phục

  • Cập nhật ngay lập tức lên phiên bản VSPC 8.1.0.21999: Phiên bản này đã được Veeam phát hành kèm bản vá xử lý khắc phục các lỗ hổng trên.

  • Đối với các phiên bản không còn được hỗ trợ: Người dùng cần nâng cấp lên phiên bản mới nhất của VSPC để đảm bảo an toàn cho hệ thống.

Nguồn: VNCERT/CC

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: