Veeam Backup & Replication: Umgehung der Autorisierung im CDP Coordinator Service
Zusammenfassung
Veeam Backup & Replication 13 enthält eine kritische Umgehung der Autorisierung im CDP Coordinator Service, der auf dem Backup-Server läuft und Aufgaben für Continuous Data Protection koordiniert. Ein nicht authentifizierter Angreifer aus der Ferne kann die Autorisierungsprüfungen über das Netzwerk ohne Benutzerinteraktion umgehen. Veeam meldet hohe Auswirkungen auf Integrität und Verfügbarkeit, und laut den Recherchenotizen ist keine direkte Remote Code Execution möglich. Die Erreichbarkeit des Dienstes aus unvertrauenswürdigen Netzwerken erhöht das Risiko erheblich.
Betroffen
- Veeam Backup & Replication 13.1.1.18 und alle früheren 13.1-Builds
- Veeam Backup & Replication 13.0.2.29 und alle früheren 13.0-Builds
- Windows-basierte Installationen und Veeam Software Appliance
- Ältere Versionen wie 12.x sind gemäss Veeam nicht betroffen
Behoben in
- Veeam Backup & Replication 13.1.2 (Build 13.1.2.57)
- Veeam Backup & Replication 13.0.3 (Build 13.0.3.63)
Umgehung
Unbekannt. Die Veeam-Warnmeldung nennt keinen Workaround. Als allgemeine Härtungsmassnahme, nicht als Herstellermassnahme, sollte der Zugriff auf den Backup-Server und seine CDP-Dienste über Firewall-Regeln oder Netzwerksegmentierung auf vertrauenswürdige Verwaltungsrechner beschränkt werden.
Ausnutzung
- Veeam meldet keine Ausnutzung in freier Wildbahn.
- Zum Zeitpunkt der Recherche nicht im CISA KEV Katalog; der Katalog sollte direkt geprüft werden.
- Von Drittprüfungen wurde kein öffentlicher Proof of Concept gefunden; dies ist keine erschöpfende Suche.
- Veeam veröffentlicht keine Details zur Ausnutzung.
Unsere Empfehlung
- Alle Veeam Backup & Replication 13.0- und 13.1-Server inklusive Windows- und Software-Appliance-Installationen identifizieren und die Build-Nummer prüfen.
- So rasch wie möglich auf 13.1.2 (Build 13.1.2.57) oder 13.0.3 (Build 13.0.3.63) aktualisieren, nach einer Sicherung der Konfiguration.
- Sicherstellen, dass der CDP Coordinator Service nicht aus unvertrauenswürdigen Netzwerken, einschliesslich dem Internet, erreichbar ist.
- Protokolle auf unerwartete Zugriffe auf den Dienst prüfen.
- KEV, NVD und die Veeam-Warnmeldung in den kommenden Tagen auf Änderungen des Ausnutzungsstatus prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Veeam KB4948: Vulnerabilities Resolved in Veeam Backup & Replication 13.1.2 www.veeam.com
- Brandefense: CVE-2026-108142 brandefense.io
- GBHackers: Critical Veeam Backup & Replication flaw gbhackers.com
- VulDB: CVE-2026-108142 vuldb.com
- Enginsight: CVE-2026-108142 cve.enginsight.com
- IT-Connect: Critical unauthenticated flaw hits Veeam Backup & Replication 13 www.it-connect.tech
- SOC Prime: CVE-2026-108142 analysis socprime.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.