Veeam, Backup & Replication yazılımındaki birden fazla güvenlik açığını gidermek için güvenlik güncellemeleri yayınladı; bu açıklar arasında uzaktan kod
yürütülmesine (RCE) yol açabilecek "kritik" bir sorun da bulunuyor.
CVE-2025-59470 olarak takip edilen bu güvenlik açığı, 9.0'lık bir CVSS puanına sahiptir.
Salı günü yayınlanan bültende, "Bu güvenlik açığı, bir Yedekleme veya Bant Operatörünün, kötü amaçlı bir aralık veya sıralama parametresi göndererek postgres kullanıcısı olarak uzaktan kod yürütme (RCE) gerçekleştirmesine olanak tanır" denildi .
Veeam'in dokümanına göre, Yedekleme Operatörü rolüne sahip bir kullanıcı mevcut işleri başlatabilir ve durdurabilir; yedekleri dışa aktarabilir; yedekleri kopyalayabilir ve VeeamZip yedekleri oluşturabilir. Öte yandan, Bant Operatörü rolüne sahip bir kullanıcı, bant yedekleme işlerini veya bant kataloglama işlerini çalıştırabilir; bantları çıkarabilir; bantları içe ve dışa aktarabilir; bantları bir ortam havuzuna taşıyabilir; bantları kopyalayabilir veya silebilir ve bir bant şifresi belirleyebilir.
Başka bir deyişle, bu roller son derece ayrıcalıklı olarak kabul ediliyor ve kuruluşlar bunların kötüye kullanılmasını önlemek için yeterli önlemleri zaten almış olmalıdır.
Veeam, CVSS puanına rağmen bu eksikliği "yüksek önem dereceli" olarak değerlendirdiğini ve müşterilerin Veeam'in önerdiği Güvenlik Yönergelerine uymaları durumunda istismar olasılığının azaldığını belirtti .
Şirket ayrıca aynı üründeki diğer üç güvenlik açığına da değindi:
- CVE-2025-55125 (CVSS puanı: 7.2) - Yedekleme veya Bant Operatörünün, kötü amaçlı bir yedekleme yapılandırma dosyası oluşturarak root yetkisiyle uzaktan kod yürütme (RCE) gerçekleştirmesine olanak tanıyan bir güvenlik açığı.
- CVE-2025-59468 (CVSS puanı: 6.7) - Yedekleme Yöneticisinin, kötü amaçlı bir parola parametresi göndererek postgres kullanıcısı olarak uzaktan kod yürütme (RCE) gerçekleştirmesine olanak tanıyan bir güvenlik açığı.
- CVE-2025-59469 (CVSS puanı: 7.2) - Yedekleme veya Bant Operatörünün root olarak dosya yazmasına olanak tanıyan bir güvenlik açığı.
Tespit edilen dört güvenlik açığının tamamı Veeam Backup & Replication 13.0.1.180 ve 13'ün önceki tüm sürümlerini etkilemektedir. Bu açıklar Backup & Replication 13.0.1.1071 sürümünde giderilmiştir.
Veeam , güvenlik açıklarının gerçekte nasıl istismar edildiğinden bahsetmese de, yazılımdaki güvenlik açıklarının geçmişte siber suçlular tarafından istismar edildiği göz önüne alındığında, kullanıcıların düzeltmeleri derhal uygulamaları çok önemlidir .
