CVE-2026-58070 : divulgation d'identifiants de machines invitées en clair dans les journaux de support Veeam

HERMES

HERMES THREAT SCORE & RISQUE DE FUITE D'IDENTIFIANTS

Cible : Fichiers journaux et paquets de diagnostic Veeam Backup & Replication

Confiance : 97%

78 / 100

ÉLEVÉ

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 17 / 20

Activité de menace 15 / 20

Militarisation 16 / 20

Exposition 15 / 20

Prévalence 19 / 20

Impact 18 / 20

Maturité de l'exploit 16 / 20

Potentiel d'attaque en chaîne 19 / 20

⚖️ Divergence & Justification opérationnelle

Hermes évalue la CVE-2026-58070 à un HTS de 78 (ÉLEVÉ). Si la vulnérabilité est classée en sévérité moyenne par l'éditeur en raison de la nécessité d'un accès local en lecture aux fichiers de logs, son impact opérationnel est dévastateur : elle expose directement en clair les identifiants d'administration des contrôleurs de domaine Active Directory et des serveurs de bases de données protégés (comptes VSS Application-Aware). Tout utilisateur local ou attaquant ayant compromis un compte restreint peut ainsi récolter les mots de passe de l'ensemble du parc informatique.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-58070: Cleartext Guest OS Credentials Disclosure in Veeam Backup Support LogsVULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTVeeam Backup & Replication

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Veeam Backup & Replication documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Exposition d'identifiants à hauts privilèges dans les journaux

CVSS v3.1 : 6.8 moyen : (CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N) / CWE-532 : insertion d’informations sensibles dans un fichier journal (Cleartext Logging).
La faille affecte les déploiements de Veeam Backup & Replication versions 12.x et 13.x. Lors des opérations de traitement cohérent des applications (VSS Guest Processing), les informations d’authentification des machines virtuelles invitées sont inscrites en clair dans les fichiers journaux de débogage et les paquets d’assistance technique. Tout utilisateur local disposant d’un droit de lecture sur ces journaux peut extraire ces secrets sans privilège administrateur.

Synthèse exécutive

Découverte lors d’audits de sécurité sur les mécanismes de télémétrie de Veeam Backup & Replication, la CVE-2026-58070 met en lumière un défaut de masquage des données sensibles dans le sous-système de diagnostic.

Pour réaliser des sauvegardes cohérentes de machines critiques (Active Directory, SQL Server, Exchange, serveurs de fichiers), Veeam injecte temporairement un agent d’indexation invité (Guest Interaction Proxy) via des identifiants d’administration locale ou de domaine. Dans les versions vulnérables, la commande d’initialisation RPC/WMI incluant le mot de passe en clair était journalisée verbatim dans les fichiers %ProgramData%\Veeam\Backup\ et incorporée dans les archives transmises au support technique.

---

1. Métadonnées et surface d’attaque

Paramètre	Spécification technique	Impact opérationnel
Identifiant CVE	CVE-2026-58070	Identifiant officiel NVD / MITRE
Éditeur / produit	Veeam Software / Backup & Replication	Plan de sauvegarde d’infrastructure
Versions affectées	VBR 12.x et 13.x antérieures au correctif d’août 2026	Déploiements avec Guest Processing actif
Type de vulnérabilité	CWE-532 : Information Exposure Through Log Files	Fuite d’identifiants d’entreprise
Accès requis	Accès local en lecture aux répertoires de logs	Utilisateur local ou accès aux tickets support
Données exposées	Mots de passe administrateur de machines invitées	Identifiants Domain Admin, SA SQL, etc.

---

2. Analyse technique de la cause racine

Le composant incriminé est le module de communication avec les machines invitées (Veeam.Backup.GuestInteraction.exe).

Chaîne d'exposition des identifiants dans la CVE-2026-58070 :

  ┌────────────────────────────────────────────────────────┐
  │ Déclenchement du job de sauvegarde avec Guest Processing│
  └───────────────────────────┬────────────────────────────┘
                              │ VBR tente l'authentification WMI/RPC
                              │ Commande : GuestAgent.exe -u "DOMAIN\Admin" -p "SecretP@ssword!"
                              ▼
  ┌────────────────────────────────────────────────────────┐
  │ Sous-système de journalisation détaillée (Debug Level) │
  │   • Trace de la commande complète dans GuestAgent.log  │
  │   • Défaut de regex de masquage (Redaction Failure)    │
  └───────────────────────────┬────────────────────────────┘
                              │ Écriture sur disque en clair
                              ▼
  ┌────────────────────────────────────────────────────────┐
  │ Fichier : C:\ProgramData\Veeam\Backup\Job_AD\Guest.log │
  │   • Lisible par le groupe local "Users"                │
  │   • Récupération immédiate par l'attaquant             │
  └────────────────────────────────────────────────────────┘

Dans les versions vulnérables, lorsque le niveau de verbosité est élevé ou lors de l’exportation automatique des journaux d’assistance (Collect Logs wizard), la routine de sérialisation n’appliquait pas les filtres de dissimulation (***) sur les paramètres de ligne de commande passés aux processus de test de connectivité VSS.

---

3. Stratégie de détection et chasse aux menaces

Détection des accès anormaux aux répertoires de journaux Veeam

index=wineventlog EventCode=4663
ObjectName="*\\ProgramData\\Veeam\\Backup\\*"
ProcessName NOT IN ("*\\Veeam.Backup.Service.exe", "*\\Veeam.Backup.Manager.exe", "*\\VeeamGuestAgent.exe")
| table _time SubjectUserName ObjectName ProcessName AccessMask

---

4. Mesures de remédiation et durcissement

1. Application du correctif Veeam : installer sans délai le correctif cumulatif d’août 2026 fourni par Veeam.
2. Purge des anciens fichiers de logs : supprimer les fichiers journaux historiques situés dans %ProgramData%\Veeam\Backup\ antérieurs à la mise à jour pour neutraliser tout mot de passe rémanent.
3. Rotation immédiate des mots de passe : effectuer une rotation complète de tous les comptes de service et comptes d’administration configurés dans le Credentials Manager de Veeam pour le Guest OS Processing.
4. Verrouillage des listes de contrôle d’accès (ACL) : restreindre les permissions NTFS sur le dossier %ProgramData%\Veeam\Backup\ aux seuls administrateurs locaux et au compte de service Veeam.

---

5. Références

• Avis éditeur Veeam : Veeam Knowledge Base Bulletin
• Base NVD : CVE-2026-58070 Detail
• Playbook associé : investigation des attaques sur Active Directory