CVE-2026-21670 : extraction d'identifiants et clés SSH par un utilisateur peu privilégié dans Veeam Backup & Replication

HERMES

HERMES THREAT SCORE ET RISQUE SUR LES IDENTIFIANTS

Cible : Service de gestion des identifiants Veeam Backup & Replication - Magasin de clés SSH

Confiance : 99%

89 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 18 / 20

Militarisation 18 / 20

Exposition 17 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Le score Hermes évalue la CVE-2026-21670 à 89 (ÉLEVÉ). Dans les parcs intégrant des dépôts Linux, des hyperviseurs ou des proxys cloud, la CVE-2026-21670 permet à des opérateurs de sauvegarde aux droits restreints d'extraire les clés privées SSH et identifiants enregistrés, facilitant le pivot latéral vers l'ensemble des serveurs Linux d'infrastructure.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-21670: Veeam Backup Service WCF Impersonation Privilege EscalationVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTVeeam Backup & Replication

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Veeam Backup & Replication documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Sévérité élevée : défaut de contrôle d'accès sur le magasin de secrets

CVSS v3.1 : 8.8 élevé : (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N) / CVSS v4.0 : 8.4 Élevé (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N) / CWE-863 : autorisation incorrecte / CWE-639 : contournement d’autorisation par clé contrôlée par l’utilisateur.
La CVE-2026-21670 affecte Veeam Backup & Replication versions 12.x antérieures à 12.3.2.4465 et versions 13.x antérieures à 13.0.1.2067. Un utilisateur authentifié disposant de permissions limitées (tel qu’un Restore Operator ou Tape Operator) peut récupérer en clair les clés privées SSH et mots de passe mémorisés pour les serveurs Linux managés. Corrigée dans les avis KB4830 et KB4831.

Synthèse exécutive

Publiée le 12 mars 2026 au sein des bulletins de sécurité KB4830 et KB4831, la CVE-2026-21670 constitue une rupture critique du périmètre de privilèges dans le sous-système de gestion des identifiants de VBR.

Veeam Backup & Replication centralise les identifiants nécessaires au pilotage de ses composants managés (proxys Linux, dépôts immuables, appliances de virtualisation). En raison d’un défaut de validation des autorisations sur l’API de consultation des identifiants, un opérateur authentifié doté de simples droits de restauration ou de consultation peut énumérer et extraire les clés privées SSH et mots de passe stockés, puis les réutiliser pour rebondir latéralement sur le réseau d’infrastructure.

---

1. Métadonnées et surface affectée

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-21670	Identifiant mondial de suivi
Avis éditeur	Veeam KB4830 (v12) & KB4831 (v13)	Bulletins de sécurité cumulatifs
Versions affectées	VBR 12.x < 12.3.2.4465 & 13.x < 13.0.1.2067	Installations de sauvegarde d’entreprise
Versions corrigées	VBR 12.3.2.4465 & 13.0.1.2067	Mises à niveau obligatoires
Service vulnérable	Veeam.Backup.Service.exe	Gestionnaire d’API d’identifiants
Actif compromis	Clés privées SSH et mots de passe enregistrés	Accès interactif root/admin sur nœuds Linux
Privilèges requis	Utilisateur Veeam authentifié de bas niveau	Restore Operator, Tape Operator

---

2. Cause racine et mécanique d’exploitation

La CVE-2026-21670 trouve son origine dans une vulnérabilité de type BOLA (Broken Object Level Authorization) / IDOR (Insecure Direct Object Reference) au sein du gestionnaire d’identifiants de Veeam.Backup.Service.exe.

Cinématique d'extraction d'identifiants dans la CVE-2026-21670 :

 [Opérateur peu privilégié (Restore Operator)]
        │
        │ 1. Authentification valide sur l'API / Console VBR
        ▼
 [Service de gestion des identifiants Veeam]
        │
        │ 2. Requête d'objet par identifiant : GetCredentials(credId)
        ▼
 [Absence de contrôle d'autorisation sur l'objet]
        │
        │ ⚠️ Valide l'authentification globale, mais PAS les droits sur le secret
        ▼
 [Déchiffrement DPAPI exécuté en interne]
        │
        │ 3. Le service déchiffre la clé privée SSH / mot de passe stocké
        ▼
 [Restitution de la clé SSH en clair à l'opérateur]
        └── Utilisation pour ouvrir une session root SSH sur dépôts et proxys

Fonctionnement du magasin d’identifiants

Lorsqu’un administrateur enregistre un hôte Linux dans Veeam, la solution mémorise ses identifiants SSH (paire identifiant/mot de passe ou clé privée OpenSSH). Ces éléments sont stockés dans la base de données de configuration sous la table [dbo].[Credentials], protégés par le chiffrement DPAPI de la machine locale.

Lorsqu’un client applicatif demande les métadonnées d’identifiants pour renseigner les menus déroulants de la console, la méthode d’API GetCredentials() renvoyait l’intégralité du blob déchiffré—incluant la clé privée SSH—à toute session authentifiée, sans vérifier si l’utilisateur demandeur possédait les privilèges administratifs requis pour accéder aux secrets en clair.

---

3. Mouvement latéral et impact sur le parc Linux

L’extraction des clés privées SSH permet aux agresseurs de réaliser un pivot direct vers l’infrastructure Linux :

1. Compromission des proxys Linux et serveurs de montage : les attaquants utilisent les clés dérobées pour ouvrir une session SSH avec privilèges root ou sudo sur les serveurs de traitement.
2. Attaque sur les dépôts mal isolés : si une organisation n’a pas appliqué le principe des identifiants à usage unique ou a omis de désactiver SSH sur ses dépôts Linux, la possession de la clé privée permet d’accéder aux points de montage de sauvegarde.
3. Rebond vers les hyperviseurs : dans les architectures où les appliances VMware ESXi ou vCenter utilisent une authentification SSH mémorisée dans Veeam, les cybercriminels accèdent directement aux interfaces de gestion de la virtualisation.

---

4. Ingénierie de détection

Sigma (énumération anormale d'identifiants)

title: Énumération anormale du magasin d'identifiants Veeam
id: 5a7f91c2-3e41-4820-9124-cve-2026-21670-dump-fr
status: production
description: Détecte des requêtes séquentielles massives vers les API de gestion des identifiants Veeam par des comptes non administrateurs, caractéristique d'une exploitation de la CVE-2026-21670.
references:
  - https://www.veeam.com/kb4830
  - https://www.veeam.com/kb4831
author: Hermes Codex DFIR Lab
date: 2026-09-09
logsource:
  category: application
  product: windows
detection:
  selection:
    Source: 'Veeam Backup Catalog'
    EventID: 100
    Message|contains:
      - 'GetCredentials'
      - 'FindCredentials'
      - 'ExportCredentials'
  filter_admin:
    User|contains:
      - 'Administrator'
      - 'VeeamAdmin'
  condition: selection and not filter_admin
level: high
tags:
  - attack.credential_access
  - attack.t1555
  - cve.2026-21670

KQL (Sentinel corrélation SSH sortant)

// Microsoft Sentinel KQL : corrélation entre connexions Veeam de bas niveau et rebonds SSH sortants immédiats
let VeeamServers = dynamic(["10.100.50.10", "10.100.50.15"]);
let SuspiciousLogons = SecurityEvent
| where Computer in (VeeamServers) and EventID == 4624
| where TargetUserName !in ("Administrator", "SYSTEM")
| project LogonTime = TimeGenerated, TargetUserName, IpAddress;
DeviceNetworkEvents
| where InitiatingProcessFileName in ("ssh.exe", "putty.exe", "plink.exe") or RemotePort == 22
| join kind=inner (SuspiciousLogons) on $left.DeviceName == $right.Computer
| where TimeGenerated between (LogonTime .. (LogonTime + 15m))
| project TimeGenerated, TargetUserName, RemoteIP, RemotePort, InitiatingProcessCommandLine

YARA (clés privées SSH déposées)

rule Hunt_Staged_Veeam_SSH_Keys {
    meta:
        description = "Détecte des clés privées OpenSSH ou RSA extraites et stockées dans des répertoires temporaires"
        author = "Hermes Codex CTI"
        date = "2026-09-09"
        severity = "High"
    strings:
        $ssh1 = "-----BEGIN OPENSSH PRIVATE KEY-----" ascii
        $ssh2 = "-----BEGIN RSA PRIVATE KEY-----" ascii
        $veeam_tag = "Veeam" ascii wide nocase
    condition:
        ($ssh1 or $ssh2) and $veeam_tag
}

---

5. Recommandations de remédiation et durcissement

1. Déployer les correctifs KB4830 / KB4831 : Mettre à jour les instances VBR 12 vers le build 12.3.2.4465 et les instances VBR 13 vers le build 13.0.1.2067. Le correctif impose la possession du rôle Backup Administrator pour toute délivrance de données de connexion.
2. Renouveler immédiatement les clés SSH et mots de passe : Procéder à la rotation sans délai de toutes les clés SSH et des mots de passe enregistrés dans le gestionnaire d’identifiants de Veeam pour les proxys Linux et hyperviseurs.
3. Auditer les attributions de rôles : Vérifier les comptes et privilèges configurés dans Veeam Console > Users and Roles et révoquer les accès superflus.

---

6. Renseignements connexes et navigation dans la série Veeam

Partie 1 : architecture et acteurs menaçants Topologie des composants, magasins de secrets et campagnes d'attaquants.

Partie 3 : guide de durcissement et Zero Trust Pratiques de déploiement à identifiants à usage unique et désactivation de SSH sur LHR.

Partie 4 : investigation forensique DFIR Méthodes de détection des dumps d'identifiants DPAPI et scripts de triage forensique.

CVE-2026-21669 : RCE utilisateur de domaine Analyse de l'exécution de code à distance par utilisateur authentifié du domaine sur VBR v13.

---

7. Sources officielles et références vérifiées

Veeam Support - Bulletin de sécurité KB4830 Avis officiel détaillant la CVE-2026-21670 pour Veeam Backup & Replication 12.

Tenable Network Security - CVE-2026-21670 Plugin Analyse de vulnérabilité et règles d'audit de conformité Nessus pour la CVE-2026-21670.

CERT-FR - Avis de sécurité CERTFR-2026-AVI-0298 Avis national détaillant l'exposition d'identifiants et l'élévation de privilèges dans les solutions Veeam.

SentinelOne Vulnerability Database - CVE-2026-21670 Analyse technique sur les défauts d'autorisation des plans de gestion de sauvegarde.