Kritische Schwachstelle in Veeam Backup Enterprise Manager

Wichtige Updates für Veeam Backup & Replication verfügbar Kritische Schwachstelle in Veeam Backup Enterprise Manager

31.05.2024 Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Admins sollten ihre Installationen von Veeam Backup & Replication aktualisieren, da die Entwickler mehrere Schwachstellen geschlossen haben. Ohne die Updates können Angreifer auf den Veeam Backup Enterprise Manager zugreifen.

Derzeit gibt es verschiedene Schwachstellen in Veeam Backup & Replication.(Bild: DALL-E / KI-generiert) — Derzeit gibt es verschiedene Schwachstellen in Veeam Backup & Replication.
(Bild: DALL-E / KI-generiert)

Veeam hat Updates für verschiedene Software-Schwachstellen veröffentliche. Die kritische Lücke CVE-2024-29849 erlaubt es Angreifern sich über das Web-Interface anzumelden. Diese Lücke ist besonders gefährlich und sollte daher schnellstmöglich geschlossen werden. Weitere Lücken sind die Schwachstellen CVE-2024-29849, CVE-2024-29850, CVE-2024-29851 und CVE-2024-29852. Diese werden im Rahmen der Aktualisierung von CVE-2024-29849 ebenfalls aktualisiert. Diese werden durch CVE-2024-29849 ebenfalls geschlossen.

Die Lücke CVE-2024-29853 betrifft den Veeam Agent for Microsoft Windows. Alle diese Schwachstellen schließen die Updates, die Veeam für seine Produkte zur Verfügung stellt. Die neue Version für alle betroffenen Produkte stehen direkt bei Veeam zur Verfügung.

Hintergrund zu den Sicherheitslücken

Der Veeam Backup Enterprise Manager (VBEM) ist eine ergänzende Anwendung, die zur Verwaltung von Veeam Backup & Replication (VBR) über eine Webkonsole eingesetzt werden kann. Der Einsatz von VBEM ist optional, daher ist er nicht in allen Umgebungen installiert. Wenn VBEM in der Umgebung nicht installiert ist, sind die hier beschriebenen Schwachstellen für die Umgebung nicht relevant.

Um festzustellen, ob VBEM installiert ist, kann nach dem Veeam Backup Enterprise Manager-Dienst gesucht werden. Alternativ kann auch der folgende PowerShell-Befehl auf dem Veeam Backup-Server ausgeführt werden:

Get-VBRServer | Out-Null [Veeam.Backup.Core.SBackupOptions]::GetEnterpriseServerInfo() | Format-List

Die Schwachstelle CVE-2024-29849 ermöglicht es einem nicht authentifizierten Angreifer, sich als beliebiger Benutzer an der Weboberfläche von VBEM anzumelden. Diese Schwachstelle hat einen kritischen Schweregrad und einen CVSS v3.1 Score von 9.8. Die Schwachstelle CVE-2024-29850 ermöglicht eine Kontoübernahme durch einen NTLM-Relay-Angriff. Diese Schwachstelle wurde mit einem hohen Schweregrad und einem CVSS v3.1 Score von 8.8 bewertet.

Die Schwachstelle CVE-2024-29851 erlaubt es einem hochprivilegierten Benutzer, den NTLM-Hash des VBEM-Dienstkontos zu stehlen, sofern dieses Dienstkonto nicht das Standardkonto "Local System" ist. Schließlich ermöglicht die Schwachstelle CVE-2024-29852 hochprivilegierten Benutzern das Lesen von Backup-Sitzungsprotokollen. Diese Schwachstelle wurde als geringfügig eingestuft und hat einen CVSS v3.1 Score von 2.7.

(ID:50043951)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.