Veeam Backup & Replication: Beliebiges Lesen von Dateien durch Cloud-Connect-Tenants

Zusammenfassung

Ein authentifizierter Veeam-Cloud-Connect-Tenant kann beliebige Dateien auf dem Service-Provider-Host lesen, auf dem Veeam Backup & Replication läuft. Die Schwachstelle ist ein Path Traversal (CWE-22) mit einem CVSS-4.0-Score von 8.3 (High) und betrifft hauptsächlich die Vertraulichkeit. Der Angriff erfordert einen gültigen Tenant-Login, aber keine Benutzerinteraktion, weshalb jedes Tenant-Konto auf dem Provider-Host eine potenzielle Angriffsquelle ist.

Betroffen

• Veeam Backup & Replication 12 bis einschliesslich 12.3.2.4854 (und frühere 12er-Builds)
• Veeam Backup & Replication 13 bis einschliesslich 13.0.2.29 (und frühere 13er-Builds)
• Windows-basierte Veeam-Backup-&-Replication-Installationen
• Nicht mehr unterstützte Versionen wurden nicht getestet, sind aber wahrscheinlich betroffen
• Hinweis: Der betroffene Bereich im CVE-Eintrag und bei Aggregatoren (13 bis 13.0.3) weicht vom Herstellertext ab. Builds 13.0.2.29 bis 13.0.3.63 werden bis zur Klärung durch Veeam als verwundbar behandelt.

Behoben in

• Veeam Backup & Replication 13.1 (Build 13.1.0.411)
• Veeam Backup & Replication 13.0.3 (Build 13.0.3.63)
• Veeam Backup & Replication 12.3.2 P4 (Build 12.3.2.4934)

Umgehung

Unbekannt. Veeam hat keinen Workaround veröffentlicht. Ein Aggregator schlägt vor, den Dateizugriff von Cloud-Connect-Tenants auf die eigenen Verzeichnisse des Tenants zu beschränken. Dies ist von Veeam nicht bestätigt und nur eine vorübergehende Notmassnahme.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• EPSS-Wert 0.0037.
• Bei einer kurzen Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.

Unsere Empfehlung

• Ermitteln Sie Veeam-Backup-&-Replication-Server mit der Cloud-Connect-Rolle und prüfen Sie deren Versionen. Wenn Sie Cloud Connect nicht als Service-Provider betreiben, sind Sie für diese Schwachstelle nicht exponiert.
• Aktualisieren Sie auf 13.1.0.411, 13.0.3.63 oder neuer bzw. auf 12.3.2.4934 oder neuer und installieren Sie gleichzeitig die übrigen Veeam-Fixes vom Oktober 2026.
• Überprüfen Sie bis zum Patch die Cloud-Connect-Tenant-Konten und beschränken Sie deren Dateizugriff, wo möglich.
• Beobachten Sie das Veeam-Advisory KB4902 auf eine Klärung des Build-Bereichs 13.0.3.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Veeam KB4902: Vulnerabilities Resolved in Veeam Backup & Replication 13.1 www.veeam.com
• Veeam KB3103: Fix list www.veeam.com
• Veeam KB4696: 12.3 release notes www.veeam.com
• VulDB entry for CVE-2026-58069 vuldb.com
• Heise: Veeam closes vulnerability in Backup & Replication www.heise.de
• OpenCVE: CVE-2026-58069 app.opencve.io
• Vulners: NVD:CVE-2026-58069 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:01.