【漏洞通告】Veeam Backup & Replication反序列化漏洞(CVE-2025-23120)
發布時間 2025-03-21一、漏洞概述
漏洞名稱 | Veeam Backup & Replication反序列化漏洞 | ||
CVE ID | CVE-2025-23120 | ||
漏洞類型 | 反序列化漏洞 | 發現時間 | 2025-03-21 |
漏洞評分 | 9.9 | 漏洞等級 | 嚴重 |
攻擊向量 | 網絡 | 所需權限 | 低 |
利用難度 | 低 | 用戶交互 | 無 |
PoC/EXP | 無 | 在野利用 | 未發現 |
Veeam Backup & Replication是一款企業級備份和災難恢復解決方案,主要用于虛擬化環境中的數據保護。它支持VMware vSphere、Microsoft Hyper-V等虛擬平臺,提供高效的備份、恢復、復制及監控功能。Veeam能夠進行即時恢復、災難恢復和云備份,幫助企業確保數據安全、業務連續性和快速恢復。該軟件具有簡便的管理界面、靈活的存儲選項和強大的自動化功能,適用于各種規模的企業。
2025年3月21日,啟明星辰集團VSRC監測到Veeam官方發布CVE-2025-23120安全公告,指出Veeam Backup & Replication存在反序列化漏洞。攻擊者可利用Veeam代碼庫或第三方庫中未識別的反序列化小工具(gadgets),在域用戶權限下執行遠程代碼。攻擊者通過xmlFrameworkDs類觸發DataSet的反序列化機制,利用DataSet類中的已知漏洞執行惡意代碼。BackupSummary類也存在相同問題,攻擊者可通過該漏洞在備份服務器上執行任意代碼。該漏洞可能導致數據泄露和系統控制。
二、影響范圍
Veeam Backup & Replication <= 12.3.0.310
三、安全措施
3.1 升級版本
Veeam已發布了12.3.1版本(構建號12.3.1.1139)來修復此漏洞。建議用戶盡快將軟件更新至此版本,以確保系統安全。
下載鏈接:https://www.veeam.com/kb4696/
3.2 臨時措施
暫無。
3.3 通用建議
? 定期更新系統補丁,減少系統漏洞,提升服務器的安全性。
? 加強系統和網絡的訪問控制,修改防火墻策略,關閉非必要的應用端口或服務,減少將危險服務(如SSH、RDP等)暴露到公網,減少攻擊面。
? 使用企業級安全產品,提升企業的網絡安全性能。
? 加強系統用戶和權限管理,啟用多因素認證機制和最小權限原則,用戶和軟件權限應保持在最低限度。
? 啟用強密碼策略并設置為定期修改。
3.4 參考鏈接
https://www.veeam.com/kb4724
https://labs.watchtowr.com/by-executive-order-we-are-banning-blacklists-domain-level-rce-in-veeam-backup-replication-cve-2025-23120/
https://nvd.nist.gov/vuln/detail/CVE-2025-23120