Veeam ha rilasciato aggiornamenti di sicurezza per il software Backup and Replication, correggendo diverse vulnerabilita che possono mettere a rischio ambienti enterprise. La piu critica e identificata come CVE-2025-59470 con punteggio CVSS 9.0 e consente una remote code execution. In pratica un utente con ruolo Backup Operator o Tape Operator potrebbe eseguire codice da remoto come utente postgres inviando parametri malevoli, in particolare interval o order. Questo dettaglio e importante perche dimostra come anche permessi operativi, spesso assegnati per gestire job e procedure di backup, possano diventare un punto di ingresso per un attacco mirato.
I ruoli coinvolti sono considerati altamente privilegiati. Un Backup Operator puo avviare e fermare job esistenti, esportare backup, copiare backup e creare VeeamZip. Un Tape Operator puo eseguire job su nastro, gestire cataloghi, espellere, importare ed esportare nastri, spostare supporti tra pool, copiare o cancellare nastri e impostare password. Se queste credenziali vengono compromesse, l impatto puo essere elevato perche l infrastruttura di backup e spesso collegata ai dati piu sensibili e rappresenta un obiettivo tipico per ransomware e attori malevoli.
Oltre a CVE-2025-59470, Veeam ha risolto altre tre falle nello stesso prodotto. CVE-2025-55125 con CVSS 7.2 permette remote code execution come root tramite un file di configurazione di backup malevolo creato da Backup Operator o Tape Operator. CVE-2025-59468 con CVSS 6.7 consente a un Backup Administrator di eseguire codice come postgres usando un parametro password malevolo. CVE-2025-59469 con CVSS 7.2 permette a Backup Operator o Tape Operator di scrivere file come root, aumentando il rischio di escalation e persistenza.
Tutte e quattro le vulnerabilita impattano Veeam Backup and Replication 13.0.1.180 e tutte le build precedenti della serie 13. Le correzioni sono incluse nella versione 13.0.1.1071. Anche se non risultano exploit attivi dichiarati, la storia recente mostra che vulnerabilita in software di backup possono essere sfruttate rapidamente, quindi l aggiornamento tempestivo e la revisione dei privilegi restano misure essenziali.
