- Son 7 gün
- CWE-863
CVE-2026-106077
Veeam Backup for Microsoft 365 yetkisiz dosya okuma zafiyeti
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- hackerone
Yönetici özeti
Bu açık, yedekleme sisteminizdeki verilerin yetkisiz kişilere açılmasına neden olabilir. Yedeklemeler genellikle şirketin en hassas bilgilerini içerdiği için risk yüksektir. Yönetici yetkisi olan hesapları sınırlamak ve sistemi resmi güncellemelerle korumak acil bir öncelik olmalıdır.
ÖzetTürkçe
Veeam Backup for Microsoft 365 ürününde, Administrator rolüne sahip bir kullanıcının yedekleme sunucusundaki rastgele dosyaları LocalSystem ayrıcalıklarıyla okuyabildiği bir yetki kontrolü hatası bulunmaktadır. Etkilenen sürümler 8.0 ile 8.5.0.1014 arasındaki kurulumlardır. Saldırı için önce yönetici yetkisine sahip bir hesabın ele geçirilmesi gerekir.
Saldırgan ne yapabilir?
Saldırgan, yönetici yetkisine sahip bir hesapla yedekleme sunucusundaki hassas dosyalara, yapılandırma bilgilerine ve yedeklenmiş verilere erişebilir. Bu durum kimlik bilgilerinin ve kişisel verilerin ifşasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability allowing a user with the Veeam Backup for Microsoft 365 Administrator role to read arbitrary files on the backup server with LocalSystem privileges.
Ne yapmalı?
- Bu kayıtta satıcının belirlediği düzeltilmiş bir sürüm bilgisi yer almıyor. Veeam'in resmi güvenlik duyurularını takip edin ve düzeltme yayınlandığı anda 8.0 ile 8.5.0.1014 arasındaki tüm kurulumları güncelleyin. Genel öneri
- Veeam Backup for Microsoft 365 yönetici (Administrator) rolüne sahip hesap sayısını azaltın ve yalnızca gerçekten ihtiyaç duyan kişilere bu yetkiyi verin. Genel öneri
- Yedekleme sunucusundaki yönetici hesaplarının parolalarını güçlü parolalarla değiştirin ve mümkünse çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Yedekleme sunucusuna erişimi ağ düzeyinde yalnızca yetkili yönetim sistemleriyle sınırlandırın. Genel öneri
Ek önlemler
- Yönetici rolündeki hesapların yaptığı işlemleri ve dosya erişim kayıtlarını düzenli olarak inceleyin. Genel öneri
- Yedekleme sunucusunu ayrı bir ağ bölümünde tutun ve gereksiz dosya paylaşımlarını kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Veeam Backup for Microsoft 365 | ≥ 8.0, ≤ 8.5.0.1014 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.