Критические уязвимости в Veeam Backup & Replication: рекомендации ФСТЭК и DataSpace

09 июля 2025

Критические уязвимости в Veeam Backup & Replication: рекомендации ФСТЭК и DataSpace

В 2025 году ФСТЭК выявила две критические уязвимости (BDU:2025-06894 и BDU:2025-03134) в системе облачного резервного копирования Veeam Backup & Replication, каждая с уровнем опасности 9.9 из 10. Уязвимости позволяют удаленно выполнить произвольный код на сервере, что может привести к шифрованию резервных копий или распространению вредоносного ПО. Производитель выпустил исправления в версиях 12.3.2 (BDU:2025-06894) и 12.3.1 (BDU:2025-03134).

Позиция и рекомендации DataSpace:

Константин Симонов, ИТ-директор DataSpace, подтверждает значимость продукта и дает рекомендации по защите:

«Veeam Backup & Replication — один из самых популярных продуктов для резервного копирования как в России, так и во всем мире. Его широкое распространение обусловлено богатым функционалом и удобством использования, поддержкой различных платформ (виртуализация, физические серверы, облака), интеграцией с решениями крупных вендоров (VMware, Microsoft Hyper-V, и др.), а также активным использованием облачными провайдерами в рамках услуг BaaS (Backup as a Service).»

Для защиты от уязвимостей класса CWE-20 (включая BDU:2025-06894) Симонов рекомендует:

Использовать NGFW и WAF для фильтрации подозрительных запросов;
Внедрить микросегментацию сети для ограничения перемещения злоумышленника;
Строго соблюдать принцип минимальных привилегий;
Использовать SIEM и VM для мониторинга и управления уязвимостями.

Главная рекомендация:

ФСТЭК и эксперты настаивают на срочном обновлении до безопасных версий - как основную меру защиты. При невозможности немедленного обновления критически важно реализовать предложенные ФСТЭК и DataSpace компенсирующие меры.

Подробнее о технических деталях уязвимостей и полном спектре мер защиты читайте в полном материале на TAdviser

Пресс-центр