CVE-2026-44963 — Veeam Backup & Replication RCE

Repository di ricerca di SentinelX — solo per test di sicurezza autorizzati e scopi difensivi.

Panoramica

Descrizione della Vulnerabilità

CVE-2026-44963 è una vulnerabilità di Esecuzione di Codice in Remoto (RCE) in Veeam Backup & Replication causata da deserializzazione non sicura di dati non attendibili (CWE-502). La vulnerabilità consente a qualsiasi utente di dominio autenticato — senza necessità di privilegi elevati — di eseguire codice arbitrario sul Server di Backup in remoto.

Caratteristiche Chiave

• Vettore di Attacco: Network (AV:N)
• Complessità dell'Attacco: Bassa (AC:L)
• Privilegi Richiesti: Basso — qualsiasi utente di dominio (PR:L)
• Interazione dell'Utente: Nessuna (UI:N)
• Ambito: Sistema completo + potenziale movimento laterale
• Condizione di Sfruttamento: Il target deve essere unito al dominio

Cosa lo Rende Pericoloso

Any domain account No elevated privilege needed

Network access to VBR server

Deserialization of crafted payload

RCE as SYSTEM/service account

Full backup infrastructure compromise

Struttura del Repository

CVE-2026-44963/
 README.md # This file
 docs/
 technical-analysis.md # Deep-dive technical breakdown
 timeline.md # Disclosure & patch timeline
 references.md # External references
 detection/
 scan_veeam.py # Discover Veeam instances on network (TCP scan)
 check_version.py # Check version via Veeam REST API (auth required)
 http_prober.py # Custom HTTP fingerprinter — no third-party tools
 remediation/
 patch_checker.py # Validate patch status
 hardening.ps1 # Post-patch hardening script
 lab/
 setup.md # Lab environment setup guide
 ioc/
 indicators.md # IoCs for SIEM/EDR detection

Riferimento Rapido

Flusso di Attacco (per penetration test autorizzato)

1. Ricognizione Identificare le istanze Veeam VBR unite al dominio
2. Enumerazione Confermare la versione < 12.3.2.4854
3. Accesso Ottenere credenziali valide di qualsiasi utente di dominio
4. Sfruttamento Inviare payload di deserializzazione appositamente creato
5. Post-sfruttamento Estrarre il database di configurazione, raccogliere credenziali, muoversi lateralmente

Checklist per Penetration Tester

• Autorizzazione scritta ottenuta
• Ambito confermato (server VBR uniti al dominio nell'ambito)
• Riproduzione in laboratorio completata prima del test live
• Piano di rollback predisposto
• Registrazione/monitoraggio abilitato per le tue azioni

Rilevamento

Vedere ioc/indicators.md per l'elenco completo degli IoC.

Punti chiave di rilevamento:

• Avvio anomalo di processi da Veeam.Backup.Service.exe
• Attività di deserializzazione .NET inaspettata sul Server di Backup
• Connessioni in uscita inusuali dall'host VBR
• Log di autenticazione: utenti di dominio che si autenticano a VBR fuori orario normale

Rimedio

Immediato: Aggiornare a Veeam Backup & Replication 12.3.2.4854

Indurimento:

• Limitare l'accesso di rete alle porte del servizio VBR
• Applicare il minimo privilegio all'accesso degli utenti di dominio
• Isolare il Server di Backup in una VLAN dedicata
• Abilitare la registrazione avanzata su VBR

Vedere remediation/hardening.ps1 per lo script di indurimento automatico.

Dichiarazione di non responsabilità legale

Questo repository è destinato esclusivamente a ricerche di sicurezza autorizzate, penetration test con esplicita autorizzazione scritta e scopi difensivi/blue team.

L'uso non autorizzato di questo materiale contro sistemi di cui non si possiede la proprietà o per cui non si ha esplicita autorizzazione al test è illegale e può comportare azioni penali.

SentinelX e i contributori di questo repository non sono responsabili per qualsiasi uso improprio di queste informazioni.

Riferimenti

• Veeam KB4869 — Avviso Ufficiale
• NVD — CVE-2026-44963
• Copertura di BleepingComputer
• WatchTowr — Sina Kheirkhah (@SinSinology)
• CWE-502: Deserializzazione di Dati non Attendibili

Realizzato da SentinelX | Per la comunità, dalla comunità