【误差通告】Veeam Backup & Replication反序列化误差(CVE-2025-23120)

宣布时间 2025-03-21

一、误差概述


误差名称

Veeam Backup & Replication反序列化误差

CVE   ID

CVE-2025-23120

误差类型

反序列化误差

发明时间

2025-03-21

误差评分

9.9

误差品级

严重

攻击向量

网络

所需权限

低

使用难度

低

用户交互

无

PoC/EXP

无

在野使用

未发明


Veeam Backup & Replication是一款企业级备份和灾难恢复解决计划 ，主要用于虚拟化情形中的数据� ；� 。它支持VMware vSphere、Microsoft Hyper-V等虚拟平台 ，提供高效的备份、恢复、复制及监控功效 。Veeam能够举行即时恢复、灾难恢复和云备份 ，资助企业确保数据清静、营业一连性和快速恢复 。该软件具有轻盈的管理界面、无邪的存储选项和强盛的自动化功效 ，适用于种种规模的企业 。


2025年3月21日 ，耀世娱乐集团VSRC监测到Veeam官方宣布CVE-2025-23120清静通告 ，指出Veeam Backup & Replication保存反序列化误差 。攻击者可使用Veeam代码库或第三方库中未识别的反序列化小工具（gadgets） ，在域用户权限下执行远程代码 。攻击者通过xmlFrameworkDs类触发DataSet的反序列化机制 ，使用DataSet类中的已知误差执行恶意代码 。BackupSummary类也保存相同问题 ，攻击者可通过该误差在备份服务器上执行恣意代码 。该误差可能导致数据泄露和系统控制 。


二、影响规模


Veeam Backup & Replication <= 12.3.0.310


三、清静步伐


3.1 升级版本


Veeam已宣布了12.3.1版本（构建号12.3.1.1139）来修复此误差 。建议用户尽快将软件更新至此版本 ，以确保系统清静 。


下载链接：https://www.veeam.com/kb4696/


3.2 暂时步伐


暂无 。


3.3 通用建议


? 按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性 。

? 增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面 。

? 使用企业级清静产品 ，提升企业的网络清静性能 。

? 增强系统用户和权限管理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度 。

? 启用强密码战略并设置为按期修改 。


3.4 参考链接


https://www.veeam.com/kb4724

https://labs.watchtowr.com/by-executive-order-we-are-banning-blacklists-domain-level-rce-in-veeam-backup-replication-cve-2025-23120/

https://nvd.nist.gov/vuln/detail/CVE-2025-23120