Veeam ONE: MFA-Umgehung durch Deaktivierung von MFA mit Administrator-Zugangsdaten
Zusammenfassung
Veeam ONE 13.1 bis einschliesslich Build 13.1.0.7233 erlaubt einem Angreifer mit gültigen Administrator-Zugangsdaten, die Multi-Faktor-Authentifizierung global zu deaktivieren, bevor die MFA-Verifizierung abgeschlossen ist. Der Angreifer kann so den Zugriff auf das Produkt ohne zweiten Faktor behalten. Der Angriff ist über das Netzwerk mit geringer Komplexität möglich, erfordert jedoch hohe Berechtigungen; Veeam stuft die Schwachstelle als hoch ein (CVSS v4.0 8.5).
Betroffen
- Veeam ONE 13.1 bis einschliesslich Build 13.1.0.7233
- Ältere Versionen (z. B. 13.0.x und 12.x) sind gemäss Veeam nicht betroffen
- Veeam Backup & Replication ist von dieser CVE nicht abgedeckt
Behoben in
- Veeam ONE 13.1 P1 (Build 13.1.0.7940) gemäss Veeam KB4951
Umgehung
- Unbekannt. Die Veeam-Empfehlung nennt nur den gepatchten Build und keinen Workaround.
- Erkennungsschritt: Prüfen, ob MFA auf Veeam ONE noch aktiviert ist, und den Administrator-Account als kompromittiert behandeln, wenn MFA ohne Autorisierung deaktiviert wurde.
Ausnutzung
- Zum Zeitpunkt der Erfassung ist keine Ausnutzung bekannt.
- Gemäss PSIRT-Daten existiert kein öffentlicher Exploit; kein Eintrag im CISA-KEV-Katalog.
- EPSS-Wert: 0.35 %.
Unsere Empfehlung
- Prüfen, ob Veeam ONE installiert ist, und den Build bestätigen.
- Bei Build 13.1.0.7233 oder älter auf Veeam ONE 13.1 P1 (13.1.0.7940) gemäss KB4951 aktualisieren.
- Prüfen, ob MFA bei allen Veeam-ONE-Administrator-Konten aktiviert ist, und kürzliche Administrator-Anmeldungen sowie MFA-Änderungen überprüfen.
- Administrator-Rechte einschränken und den Zugriff auf die Veeam-ONE-Verwaltungsoberfläche auf Management-Netzwerke beschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Veeam KB4951: Vulnerabilities Resolved in Veeam ONE 13.1 Patch 1 www.veeam.com
- Heise: Veeam Backup servers can be tampered with, MFA disabled www.heise.de
- PSIRT: CVE-2026-107671 psirt.com
- CIRCL vulnerability database: Veeam vulnerability.circl.lu
- Threatint: CVE-2026-107671 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.