Veeam deja Management Pack 9.x sin parches para tres RCE; la corrección está en 13.1
Veeam corrige tres RCE en Management Pack 13.1.0.334; la rama 9.x no recibirá parches, incluido el parche de compatibilidad para Backup & Replication 13.
Veeam publicó el 29 de octubre el boletín KB4961 para Veeam Management Pack for Microsoft System Center 13.1. Documenta tres vulnerabilidades de ejecución remota de código (RCE) corregidas en el build 13.1.0.334. El aviso añade un matiz más inquietante para operadores de versiones antiguas: el fabricante no ofrecerá un parche para la rama 9.x.
La más severa es CVE-2023-22793, RCE sin autenticación: permite ejecutar código en servidores que ejecutan Virtualization Extensions. Veeam la puntúa con 9,3 en CVSS 4.0. Que lleve un identificador de 2023 no la vuelve un detalle arqueológico: el boletín de octubre vuelve a incluirla porque las instalaciones antiguas siguen expuestas y no reciben una corrección para esa rama.
-InfraCrew dice: una CVE vieja no envejece bien cuando el servicio sigue encendido y el inventario la dejó fuera del radar.-
Tres fallos, tres contextos de acceso
Las otras dos vulnerabilidades son distintas. CVE-2026-107239 permite ejecución remota a un miembro del grupo Veeam Virtualization Extensions Users, mientras que CVE-2026-107238 permite a un usuario autenticado del dominio ejecutar código como LocalSystem en servidores con el Collector service. Veeam asigna 8,8 y 8,7, respectivamente. El requisito de autenticación cambia entre fallos, así que no conviene describir los tres como una única puerta sin credenciales.
El producto extiende Microsoft System Center para observar la infraestructura virtualizada y los servicios de Veeam. En los tres casos, el componente vulnerable está en la capa de gestión y monitorización: Collector o Virtualization Extensions. Eso no convierte el aviso en un fallo de todas las instalaciones de Backup & Replication, pero sí puede dejar expuestos los servidores de administración que conectan System Center con hosts y servicios protegidos.
Un detalle que puede confundir: Veeam incluye entre las versiones afectadas de Management Pack 9.1 y anteriores el parche de compatibilidad de Backup & Replication 13. Instalar ese parche de compatibilidad no equivale a subir Management Pack a la versión corregida. La compañía indica que no publicará fixes para 9.x y pide pasar a 13.1.0.334; las versiones no soportadas tampoco fueron probadas y Veeam recomienda considerarlas vulnerables.
-InfraCrew dice: actualizar el producto que se integra con el monitor no actualiza automáticamente el propio monitor; los nombres parecidos no comparten binario.-
La ruta de actualización también cuenta
El release KB4949 añade un requisito importante para el cambio: la actualización a Management Pack 13.1 está soportada sólo desde 9a, build 9.1.0.3107. Si una instalación está en un build anterior, no debe darse por supuesto que el salto directo sea una ruta soportada; primero hay que comprobar cómo llegar a esa versión intermedia y qué dependencias de System Center y los componentes de Veeam intervienen.
La corrección queda en Veeam Management Pack for Microsoft System Center 13.1, build 13.1.0.334. El paquete se descarga desde My Account de Veeam. Antes de la ventana, localiza Collector y Virtualization Extensions, registra el build de cada instalación y confirma si hay más de una instancia asociada a Operations Manager. El inventario de Backup & Replication por sí solo no demuestra que Management Pack esté actualizado.
El boletín no afirma que estas vulnerabilidades se estén explotando activamente ni enumera una mitigación temporal para 9.x. La ausencia de un parche para esa rama es el dato de soporte que manda: las organizaciones con Management Pack 9.1 o anterior deben evaluar la ruta de actualización soportada y el riesgo de mantener esos servicios, sin interpretar el compatibility patch como protección.
-InfraCrew dice: cuando un producto deja de recibir fixes, el cambio pendiente ya no es sólo de versión; también hay que decidir cuánto tiempo aceptas operar esa superficie.-
El cierre operativo consiste en verificar el build 13.1.0.334, comprobar que System Center vuelve a recibir métricas del Collector y revisar que las extensiones de virtualización siguen monitorizando hosts y trabajos. El propio update requiere planificación: si se pierde visibilidad durante el cambio, el equipo debe distinguir un corte de monitorización de una caída real de las cargas. La gestión fiable empieza por mantener parcheada la herramienta que te avisa cuando algo falla.
Diccionario de la Crew
RCE — Ejecución de código controlada por un atacante en un sistema vulnerable.
CVSS 4.0 — Versión del sistema estándar que puntúa la severidad técnica de vulnerabilidades.
Build — Número de compilación que identifica una versión concreta del producto.
