Veeam Management Pack: Remote Code Execution im Collector-Dienst
Zusammenfassung
Der Collector-Dienst des Veeam Management Pack für Microsoft System Center enthält eine Schwachstelle, die es einem authentifizierten Domänenbenutzer erlaubt, Code aus der Ferne als Konto LocalSystem auszuführen. Betroffen sind die Version 9.0 bis vor 13.1.0.334. NVD-Daten ordnen die Schwachstelle CWE-502 (Deserialisierung nicht vertrauenswürdiger Daten) zu, VulDB nennt CWE-94. Ein Angreifer benötigt gültige Domänenzugangsdaten, aber keine Benutzerinteraktion; bei einem erfolgreichen Angriff erhält er die volle Kontrolle über den betroffenen Server, der in der Regel Domänenmitglied und privilegiert ist.
Betroffen
- Veeam Management Pack für Microsoft System Center 9.1 und alle früheren Version-9-Builds, einschliesslich des Compatibility Patch für Veeam Backup & Replication 13
- Nicht unterstützte Produktversionen wurden nicht getestet, sind aber wahrscheinlich betroffen
- Nur Installationen mit dem Collector-Dienst sind betroffen
Behoben in
- Veeam Management Pack für Microsoft System Center 13.1, Build 13.1.0.334 oder neuer
Umgehung
Unbekannt. Für Version 9.x ist keine Workaround oder Massnahme dokumentiert; die einzige dokumentierte Abhilfe ist das Upgrade auf 13.1.0.334.
Ausnutzung
- Zum Zeitpunkt der Recherche ist kein öffentlicher Proof-of-Concept-Exploit bestätigt
- Nicht im Katalog CISA KEV aufgeführt
- Von Veeam im Rahmen interner Tests entdeckt
- Veeam warnt, dass Angreifer wahrscheinlich versuchen werden, den Patch zu reverse-engineeren
- CVSS 4.0 Basisscore 8.7 (High); CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Alle Installationen des Veeam Management Pack inventarisieren und prüfen, ob der Collector-Dienst eingesetzt wird
- Alle Installationen der Version 9.x zur Migration vormerken, da für Version 9.x kein Patch bereitgestellt wird
- Auf 13.1.0.334 oder neuer aktualisieren, Collector-Server priorisieren sowie die im selben Release behobene CVE-2023-22793 berücksichtigen
- Bis zum Patch den Kreis der Domänenkonten mit Zugriff auf diese Server einschränken und administrative Rechte überprüfen
- Diese Hosts auf unerwartete Dienst- oder Prozessaktivitäten und neue lokale Konten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Veeam KB4961 Vulnerabilities Resolved in Management Pack 13.1 www.veeam.com
- VulDB CVE-2026-107238 vuldb.com
- TheHackerWire CVE-2026-107238 www.thehackerwire.com
- SecurityOnline Veeam vulnerabilities securityonline.info
- ThreatInt CVE-2026-107238 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.