- Son 7 gün
- CWE-347
CVE-2026-106078
Veeam Backup for Microsoft 365'da sahte federasyon belirteciyle REST API kimlik doğrulamasının atlatılması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- hackerone
Yönetici özeti
Bu açıklık, Microsoft 365 verilerinizi yedekleyen yazılımın bazı kimlik doğrulama kontrollerini aşmaya olanak tanıyabilir. Etkisi sınırlı görünse de yedekleme sistemleri kritik olduğundan yamanın zamanında uygulanması önerilir.
ÖzetTürkçe
Veeam Backup for Microsoft 365 ürününde, REST API kimlik doğrulamasında bir zayıflık bulunmaktadır. Saldırgan, sahte hazırlanmış bir federasyon belirteci kullanarak kimlik doğrulamasını atlatabilir. Bu durum, Veeam yedekleme servisini çağırmayan REST API uç noktalarından yanıt alınmasına olanak tanır. Etkilenen sürümler 8.0 ile 8.6.0.1102 arasındaki sürümlerdir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, REST API üzerinden yalnızca yedekleme servisini çağırmayan bazı uç noktalardan bilgi alabilir. Yedekleme verilerinin değiştirilmesi veya silinmesi bu açıklıkla doğrudan mümkün görünmemektedir.
Kaynaktaki açıklama (İngilizce)
A vulnerability allowing an unauthenticated attacker to bypass REST API authentication with a forged federation token and receive responses from REST API endpoints that do not call the Veeam Backup for Microsoft 365 backup service.
Ne yapmalı?
- Veeam Backup for Microsoft 365 uygulamasını, açıklığın giderildiği sürüme güncelleyin. Güncelleme için üreticinin resmi yayınlarını kontrol edin. Genel öneri
- Güncelleme uygulanana kadar REST API erişimini yalnızca güvenilen ağ bölümleri ve yetkili istemcilerle sınırlandırın. Genel öneri
- Güncelleme sonrasında sürüm bilginizin etkilenen aralığın dışında olduğunu doğrulayın. Genel öneri
Ek önlemler
- REST API uç noktalarına gelen istekleri ağ düzeyinde filtreleyin ve yönetim arayüzlerini internete doğrudan açmayın. Genel öneri
- Beklenmeyen REST API isteklerini ve kimlik doğrulama hatalarını günlük kayıtlarından düzenli olarak izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Veeam Backup for Microsoft 365 | ≥ 8.0, ≤ 8.6.0.1102 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.