CVE-2024-40711

Falha de deserialização insegura (CWE-502) nas interfaces .NET Remoting do Veeam Backup & Replication, que permite execução remota de código nos serviços do produto — historicamente executados como NT AUTHORITY/SYSTEM. Está no catálogo KEV da CISA com exploração confirmada, inclusive em campanhas de ransomware, o que torna a correção urgente independentemente de discussões sobre o nível exato de autenticação exigido.

O Veeam Backup & Replication usa .NET Remoting como mecanismo de comunicação interna entre diversos serviços do produto, implementado na biblioteca Veeam.Common.Remoting.dll. Esse tipo de interface historicamente resistiu a ataques de deserialização porque o Veeam mantém um 'deserialization binder' com uma blacklist de tipos .NET proibidos, embutida como recurso dentro de Veeam.Backup.Common.dll. A correção da Veeam para a CVE-2024-40711 adicionou à blacklist o tipo System.Runtime.Remoting.ObjRef — um gadget de deserialização conhecido, associado ao pesquisador Markus Wulftange — indicando que esse gadget específico não estava bloqueado nas versões vulneráveis e permitia contornar as proteções existentes.

O patch da Veeam para setembro de 2024 alterou cerca de 1.900 arquivos entre a versão 12.1.2.172 e a 12.2.0.334, misturando correções de segurança com mudanças funcionais, o que dificultou a análise de causa-raiz por terceiros (caso do watchtowr Labs). Não há confirmação pública detalhada de qual endpoint específico do serviço aceita o payload malicioso nem do fluxo exato de exploração — o pesquisador original (Florian Hauser, Code White GmbH) não divulgou detalhes técnicos justamente para reduzir o risco de abuso imediato por grupos de ransomware.

Um ponto relevante e pouco divulgado: existe divergência entre como o próprio fornecedor pontuou a falha (CVSS 9.8, vetor CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H — note PR:L, privilégio baixo) e a descrição pública/CISA, que a classifica como 'unauthenticated RCE'. O vetor citado nos dados de origem desta página (PR:N) reflete a descrição divulgada por terceiros, não o CVSS oficial publicado pela Veeam no KB4649. Essa inconsistência levou pesquisadores a investigar se a exigência de autenticação é real, parcial ou contornável em cenários específicos — sem que isso tenha sido definitivamente esclarecido nas fontes públicas disponíveis.

A exploração depende de acesso de rede ao(s) serviço(s) Veeam que expõem a interface .NET Remoting vulnerável — não há detalhe público confirmado sobre porta, endpoint específico ou payload, pois nem a Code White nem a Veeam divulgaram PoC completo por decisão deliberada de reduzir o risco de weaponização em massa. Ainda assim, existe PoC pública circulando e template Nuclei disponível, o que reduz a barreira de exploração para atacantes menos sofisticados assim que o mecanismo é reproduzido a partir do patch diff.

A divergência entre PR:N (sem autenticação) do card público e PR:L (autenticação de baixo privilégio) do CVSS oficial da Veeam é o ponto crítico para avaliar exposição real: se a explicação da Veeam estiver correta, um atacante precisaria de alguma credencial de baixo privilégio antes de acionar o gadget de deserialização; se a leitura da CISA/mídia estiver correta, o RCE ocorre sem nenhuma autenticação prévia. Ambientes que expõem o serviço de Backup & Replication diretamente à internet ou a redes não segmentadas são o cenário de maior risco em qualquer uma das interpretações.

A CISA confirma exploração ativa em ambiente real e associação a campanhas de ransomware, o que justificou a inclusão no catálogo KEV com prazo de mitigação até 07/11/2024. O resultado final da exploração é execução de código no contexto do serviço Veeam afetado — dado que esses serviços rodam com privilégios elevados no host, o impacto prático costuma ser controle total do servidor de backup, que por sua vez é o alvo primário de operadores de ransomware para impedir restauração de dados sequestrados.

A correção definitiva é atualizar Veeam Backup & Replication para a versão 12.2 (build 12.2.0.334) ou superior. Essa mesma atualização também corrige um conjunto de outras vulnerabilidades divulgadas no mesmo boletim (CVE-2024-40713, 40710, 39718, 40714, 40712), então a atualização deve ser tratada como pacote único, não como correção isolada de uma CVE.

Versões não suportadas da linha 11 e builds anteriores da linha 12 não foram testadas pela Veeam, mas são consideradas provavelmente vulneráveis — não há patch retroativo documentado para elas nas fontes consultadas. A CISA recomenda, na ausência de mitigação do fornecedor aplicável, descontinuar o uso do produto até a correção — não há paliativo de configuração, flag ou regra de WAF documentado nas fontes oficiais que substitua a atualização; a blacklist de deserialização é parte do binário corrigido, não um parâmetro configurável pelo administrador.

Como controle compensatório genérico (não substitui o patch): restringir acesso de rede aos serviços do Veeam Backup & Replication apenas a hosts de administração confiáveis, já que a exploração depende de alcançar a interface .NET Remoting do produto pela rede.

Não há, nas fontes consultadas, indicador de log ou assinatura de rede oficialmente publicado pela Veeam para identificar tentativas de exploração desta CVE especificamente — a ausência de PoC técnico detalhado divulgado pelos descobridores dificulta a criação de assinaturas precisas. Como sinal indireto, a existência de template Nuclei público para esta CVE permite verificar exposição/versão vulnerável, e deve-se monitorar conexões de rede não usuais direcionadas às interfaces de serviço do Veeam Backup & Replication, além de atividade anômala de processos filhos gerados pelos serviços Veeam (que rodam com privilégios elevados) como indicador pós-exploração.