CVE-2025-59469 : écriture de fichiers avec privilèges root dans Veeam Backup & Replication

HERMES

HERMES THREAT SCORE & RISQUE DE PERMISSION SYSTÈME

Cible : Service d'exécution des tâches d'infrastructure Veeam Backup

Confiance : 97%

84 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 18 / 20

Activité de menace 16 / 20

Militarisation 17 / 20

Exposition 16 / 20

Prévalence 19 / 20

Impact 19 / 20

Maturité de l'exploit 17 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2025-59469 à un HTS de 84 (ÉLEVÉ). La faille contourne le modèle de moindre privilège en autorisant un opérateur de bande ou de sauvegarde non administrateur à forcer le service d'infrastructure à écrire des fichiers en tant que root. En détournant les mécanismes de journalisation ou les sorties de diagnostic, l'opérateur peut corrompre des configurations système ou implanter des binaires malveillants.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2025-59469: Arbitrary File Write as Root by Operators in Veeam Backup & ReplicationVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTVeeam Backup & Replication

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Veeam Backup & Replication documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Écriture de fichiers avec privilèges superutilisateur (root)

CVSS v3.1 : 7.2 élevé : (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) / CWE-732 : assignation incorrecte de permissions pour une ressource critique / CWE-22 : limitation incorrecte d’un chemin d’accès.
Affecte Veeam Backup & Replication 13.x antérieures ou égales à 13.0.1.180. Permet à un utilisateur authentifié disposant du rôle Backup Operator ou Tape Operator d’écrire des fichiers arbitraires en tant que root sur le serveur de sauvegarde ou les agents de transport. Corrigée dans le correctif KB4716 (version 13.0.1.1071).

Synthèse exécutive

La vulnérabilité CVE-2025-59469 a été corrigée par Veeam dans le correctif cumulatif KB4716. Elle affecte le composant de gestion des flux de diagnostic et d’export de métadonnées des bandes magnétiques.

Lorsqu’un opérateur ordonne l’exportation d’un inventaire de médias ou la génération d’un rapport de session, le service d’arrière-plan s’exécutant avec les privilèges root ou SYSTEM crée le fichier cible sans valider que le chemin spécifié réside dans le répertoire d’export utilisateur prévu. Un opérateur restreint peut ainsi spécifier un fichier système cible, provoquant son écrasement ou la création d’un fichier exécutable contrôlé par l’attaquant.

---

1. Métadonnées et surface d’attaque

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2025-59469	Identifiant standardisé NVD / MITRE
Avis de sécurité éditeur	Veeam KB4716	Bulletin cumulatif de sécurité VBR v13
Composant affecté	Sous-système d’export de rapports et bandes	Processus de gestion des flux de fichiers
Versions affectées	VBR 13.x $\le$ 13.0.1.180	Toutes plateformes d’infrastructure
Version corrigée	Veeam Backup & Replication 13.0.1.1071	Mise à niveau recommandée
Rôle minimal requis	Backup Operator ou Tape Operator	Privilèges restreints authentifiés
Privilèges d’écriture	root (Linux) / SYSTEM (Windows)	Écriture arbitraire sur le système hôte

---

2. Analyse technique de la cause racine

Le défaut structurel se trouve dans le service de traitement des travaux de bande (VeeamTapeService / démons associés).

Lors de l’appel d’exportation de logs de bande ou d’indexation de médias, la requête permet de spécifier un argument outputFilePath. Le service d’infrastructure omet de vérifier que :

1. Le chemin est canonique et confiné au répertoire de cache temporaire de l’application.
2. L’identité de l’appelant est rétrogradée (impersonation) avant l’appel d’écriture sur disque.

En conséquence, le fichier est écrit avec le contexte de sécurité du démon maître, c’est-à-dire root sur les serveurs Linux ou NT AUTHORITY\SYSTEM sur Windows.

---

3. Détection et surveillance

Règle Sigma : détection d’écriture de fichier par le service de bandes Veeam

title: Écriture suspecte de fichier par le service de bandes Veeam
id: cve-2025-59469-veeam-tape-write
status: experimental
description: Détecte des écritures de fichiers en dehors des répertoires de sauvegarde par les démons Veeam Tape
references:
    - https://www.veeam.com/kb4716
logsource:
    category: file_event
    product: linux
detection:
    selection:
        Image|endswith:
            - '/VeeamTapeService'
            - '/veeamsvc'
        TargetFilename|startswith:
            - '/etc/'
            - '/usr/'
            - '/var/spool/'
    filter:
        TargetFilename|startswith: '/var/log/veeam/'
    condition: selection and not filter
level: high

---

4. Mesures de remédiation

1. Mise à niveau obligatoire : mettre à jour vers Veeam Backup & Replication 13.0.1.1071 (KB4716).
2. Cloisonnement des répertoires d’export : configurer un système de fichiers dédié monté avec l’option nosuid,noexec pour les répertoires temporaires et d’export Veeam.
3. Contrôle des comptes opérateurs : vérifier que seuls les opérateurs légitimes disposent d’un compte sur la console de sauvegarde.

---

5. Références

• Bulletin de sécurité Veeam : Veeam Security Bulletin KB4716
• Base de données NIST NVD : CVE-2025-59469 Detail