224/68 (IT) ประจำวันศุกร์ที่ 20 มิถุนายน 2568
Veeam ได้ออกแพตช์อัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ระดับ critical ในผลิตภัณฑ์ Backup & Replication ที่ช่องโหว่ CVE-2025-23121 (มีคะแนน CVSS 9.9) ที่ทำให้ผู้โจมตีที่ยืนยันตัวตนแล้วในโดเมนแล้วสามารถรันโค้ดอันตราย (Remote Code Execution – RCE) บน Backup Server ได้ ซึ่งช่องโหว่นี้ส่งผลกระทบต่อ เวอร์ชัน 12.3.1.1139 และเวอร์ชัน 12 ที่เก่ากว่า โดยช่องโหว่ดังกล่าวถูกค้นพบโดยนักวิจัยจาก CODE WHITE GmbH และ watchTowr ได้รายงานว่าช่องโหว่นี้เกิดจากการที่แพตช์ก่อนหน้า CVE-2025-23120 (ที่ปล่อยในเดือนมีนาคม 2025) ถูก bypass ได้ จึงนำไปสู่ช่องโหว่ใหม่ CVE-2025-23121 ในลักษณะเดียวกัน ทั้งสองช่องโหว่สามารถใช้สิทธิ์ของผู้ใช้งานในโดเมนที่ผ่านการยืนยันตัวตนแล้ว เพื่อควบคุมระบบได้จากระยะไกล
นอกจากนี้ Veeam ยังได้แพตช์ช่องโหว่อื่นอีก 2 รายการ ได้แก่
– CVE-2025-24286 (CVSS 7.2): ช่องโหว่ใน Backup & Replication ที่ผู้ใช้ระดับ Backup Operator สามารถแก้ไข Job เพื่อรันโค้ดอันตรายได้ ค้นพบโดย Nikolai Skliarenko จาก Trend Micro
– CVE-2025-24287 (CVSS 6.1): ช่องโหว่ใน Veeam Agent for Microsoft Windows ที่ผู้ใช้ระดับ Local สามารถเปลี่ยนไฟล์ในไดเรกทอรีเพื่อรันโค้ดโดยใช้สิทธิ์ระดับสูง ค้นพบโดย CrisprXiang ผ่านโครงการ Zero Day Initiative ของ Trend Micro
แนะนำให้ผู้ดูแลระบบรีบอัปเดตซอฟต์แวร์เป็นเวอร์ชันล่าสุดทันที เพื่อป้องกันความเสี่ยงจากการโจมตีที่อาจเกิดขึ้นผ่านช่องโหว่เหล่านี้
