Veeam Management Pack: Unauthentifizierte Remote Code Execution in Virtualization Extensions

Zusammenfassung

Der Dienst Veeam Virtualization Extensions des Veeam Management Pack für Microsoft System Center enthält eine Schwachstelle, mit der ein nicht authentifizierter Angreifer Code aus der Ferne auf dem betroffenen Server ausführen kann. Es sind keine gültigen Zugangsdaten erforderlich, der CVSS-v4.0-Basiswert beträgt 9.3 (kritisch). Die Komponente läuft mit erhöhten Privilegien und kann auf Hypervisor- und Backup-Infrastruktur zugreifen, weshalb eine Kompromittierung schwerwiegende Folgen haben kann. Der Hersteller hat eine Korrektur veröffentlicht, für Version 9.x wird jedoch keine Korrektur bereitgestellt.

Betroffen

• Veeam Management Pack für Microsoft System Center 9.0 bis vor 13.1.0.334 (gemäss CISA SSVC und Drittanbieter-Trackern)
• Veeam Management Pack für Microsoft System Center 9.1 und alle früheren Version-9-Builds gemäss KB4961
• Nicht unterstützte Versionen wurden nicht getestet, sind aber vermutlich betroffen
• Version 8.0 wird von einem Tracker genannt; vom Hersteller nicht bestätigt
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag)

Behoben in

• Veeam Management Pack für Microsoft System Center 13.1 (Build 13.1.0.334)
• Für Version 9.x wird keine Korrektur bereitgestellt; auf 13.1.0.334 aktualisieren

Umgehung

Unbekannt.

• Für diese CVE ist kein vom Hersteller veröffentlichter Workaround bekannt.
• Den Netzwerkzugriff auf den Dienst Virtualization Extensions auf die benötigten Management-Hosts beschränken (vom Hersteller nicht verifiziert).

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Laut Drittanbieter-Trackern nicht im Katalog CISA KEV aufgeführt.
• Zum Zeitpunkt der Erfassung ist kein öffentlicher Proof-of-Concept-Exploit bekannt.
• Veeam warnt, dass Angreifer versuchen könnten, den Patch zu reverse-engineeren, um ungepatchte Systeme anzugreifen.

Unsere Empfehlung

• Alle Installationen des Veeam Management Pack und deren Versionen inventarisieren.
• Alle 9.x-Installationen auf 13.1.0.334 aktualisieren und die Kompatibilitätsanforderungen für 13.x in den Release Notes prüfen.
• Falls kein Upgrade möglich ist, den Dienst-Port auf bekannte Management-Hosts beschränken und auf unerwartete Verbindungen überwachen.
• Die Begleit-CVEs CVE-2026-107239 und CVE-2026-107238 im gleichen Patch-Zyklus prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Veeam KB4961: Vulnerabilities Resolved in Veeam Management Pack 13.1 www.veeam.com
• VulDB CVE-2023-22793 vuldb.com
• VulDB vulnerability 428795 vuldb.com
• Strix AI CVE-2023-22793 www.strix.ai
• ThreatINT CVE-2023-22793 cve.threatint.com
• TheHackerWire CVE-2023-22793 www.thehackerwire.com
• SecurityOnline Veeam vulnerabilities report securityonline.info
• Veeam Helpcenter: New VEConnection helpcenter.veeam.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:26.