یک آسیب‌پذیری جدید در بخش Privilege Escalation (ارتقای سطح دسترسی) در نرم‌افزار Veeam Agent برای مایکروسافت ویندوز کشف شده است که به مهاجمان با دسترسی محلی (Local Access) اجازه می‌دهد دستورات خود را با سطح دسترسی NT AUTHORITYSYSTEM اجرا کنند.
تحلیل فنی آسیب‌پذیری CVE-2026-32996
این نقص امنیتی که با شناسه CVE-2026-32996 شناخته می‌شود، نسخه‌های 13.0.1.2067 و نسخه‌های قدیمی‌تر از ورژن 13 را تحت تأثیر قرار داده است. ریشه این مشکل در سرویس Veeam Endpoint Backup نهفته است که کنترل‌پل محلی خود را از طریق یک gRPC named pipe در مسیر \.pipeVeeamVAWServiceConnectionPipe در دسترس قرار می‌دهد.
در حالت عادی، این سرویس دارای مکانیزم‌های احراز هویت و کنترل دسترسی برای تفکیک کاربران استاندارد، اپراتورهای بک‌آپ و مدیران سیستم است. با این حال، محققان دریافتند که مکانیزم Sessionهای ارتقایافته در Veeam، به جای اتصال امن شناسه به هویت کاربر، بر اساس یک Session UID ارسالی توسط کلاینت عمل می‌کند.
سناریوی حمله و اکسپلویت
- زمانی که یک مدیر سیستم اپلیکیشن Veeam Endpoint Tray را از طریق UAC اجرا می‌کند، سرویس مربوطه
ClaimsPrincipalمدیر را در یک کش (Cache) ذخیره می‌کند که توسط یک GUID مبتنی بر Session UID indeks شده است. - یک کاربر با دسترسی محدود می‌تواند به فایل لاگ
C:ProgramDataVeeamEndpointSvc.VeeamEndpointBackup.logدسترسی پیدا کند. - مهاجم با جستجو در این فایل لاگ، یک GUID فعال و ارتقایافته را استخراج کرده و پیش از بسته شدن نشست مدیر، از آن برای ارسال درخواست‌های مدیریتی استفاده می‌کند.
در حال حاضر یک کد اثبات مفهوم (PoC) در گیت‌هاب منتشر شده است که نشان می‌دهد چگونه می‌توان با استفاده از این متد، دستورات را در محیط SYSTEM security context اجرا کرد.
راهکارهای مقابله و رفع آسیب‌پذیری
اگرچه این اکسپلویت به تنهایی قابلیت اجرای از راه دور (Remote Execution) ندارد، اما می‌تواند تأثیر سایر حملات (مانند Phishing یا بدافزارها) را به شدت افزایش داده و منجر به تسلط کامل بر Endpoint شود.
اقدامات پیشنهادی:
- به‌روزرسانی فوری: ارتقای Veeam Backup & Replication به نسخه 13.0.2.29 یا بالاتر که باعث به‌روزرسانی Veeam Agent به build 13.0.3.1220 می‌شود.
- کنترل دسترسی: محدود کردن دسترسی‌های تعاملی محلی (Interactive Local Access) و به حداقل رساندن دسترسی‌های Administrator و Backup-operator.
- مانیتورینگ: نظارت بر دسترسی‌های مشکوک به فایل‌های لاگ Veeam و شناسایی فرآیندهای غیرعادی که با سطح دسترسی SYSTEM ایجاد می‌شوند.
