概要
Veeam Backup & Replicationにおいて、Backup Viewerロール（読み取り専用）を持つユーザーがSQLインジェクションを介してpostgresユーザーとしてリモートコード実行（RCE）を行える脆弱性です。読み取り専用の権限しか持たないユーザーであっても、バックアップサーバー上でデータベースユーザー権限でのコード実行が可能となるため、非常に深刻です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.9（Critical） |
| CWE | CWE-89（SQLインジェクション） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権レベル | 低（Backup Viewer） |
影響を受けるソフトウェア
- 製品: Veeam Backup & Replication
- 修正情報: Veeam KB4830 / KB4831 に記載の修正バージョン
修正バージョンと回避策
Veeamが公開している以下のナレッジベース記事に従い、修正バージョンへアップデートしてください。
アップデートが困難な場合は、Backup Viewerロールのアカウントアクセスを制限することを検討してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。