Cześć wszystkim,
krótkie ostrzeżenie dla osób, które udostępniają klientom Veeam Service Provider Console i mają włączone Veeam Intelligence w trybie Advanced.
Podczas sprawdzania Portalu Klienta trafiłem na problem z izolacją danych pomiędzy organizacjami. Zwykły widok zadań backupowych pokazywał wyłącznie zasoby przypisane do zalogowanej firmy. Asystent AI w tej samej sesji zwrócił natomiast informacje o zadaniach innych klientów.
🔎 Co udało się potwierdzić?
Odpowiedź zawierała nazwy organizacji, zadań i maszyn, a także wyniki oraz czasy sesji backupowych. Przebieg działania asystenta wskazywał na pobranie danych z usługi, nie tylko odpowiedź na podstawie dokumentacji.
Problem został odtworzony na dwóch niezależnych kontach firmowych, z rolami Company Tenant i Company Owner. Wcześniejsze próby potrafiły zwrócić jedynie opis z dokumentacji, więc pojedyncza odpowiedź bez danych innych firm nie wystarczyła do oceny zachowania funkcji.
Ponowna próba po aktualizacji do VSPC 9.3 Patch 1, build 9.3.0.35706, również ujawniła metadane innych organizacji. W tym środowisku aktualizacja do tej kompilacji nie usunęła problemu.
To nie jest potwierdzenie dostępu do zawartości backupów ani możliwości zmiany danych. Same nazwy maszyn, zadań i informacje o wykonaniu kopii również są jednak danymi, których jeden klient nie powinien otrzymywać o drugim.
🛠️ Co radzę sprawdzić administratorom?
Basic i Advanced nie różnią się tylko szczegółowością odpowiedzi. Basic pomaga na podstawie dokumentacji, natomiast Advanced korzysta również z danych środowiska przez REST API VSPC. Tak opisuje te tryby dokumentacja Veeam.
Do czasu wyjaśnienia sprawy zalecam ostrożnościowo wyłączyć Veeam Intelligence w środowisku, w którym wystąpiło takie zachowanie (przełaczyć na tryb Basic), i uzgodnić dalsze postępowanie z supportem. W Configuration → Catalog, przy kafelku Veeam Intelligence, opcję Basic (Podstawowy), o tak:
Jeśli zauważycie podobną sytuację, zachowajcie logi i minimalny zestaw dowodów, przerwijcie dalsze odpytywanie o cudze zasoby i zgłoście incydent do Veeam. I jak zawsze, pamiętajcie, pełne zrzuty z danymi klientów powinny trafić wyłącznie do uzgodnionego, bezpiecznego kanału obsługi zgłoszenia, nie do publicznego wątku.
📌 Status zgłoszenia
Sprawę zgłosiłem do Veeam Support (#08244520). Na dziś opisuję wyniki zaobserwowane w konkretnym środowisku. Nie mam jeszcze potwierdzonej przyczyny, pełnej listy dotkniętych wersji ani informacji o poprawce. Gdy otrzymam stanowisko producenta lub potwierdzę rozwiązanie, uzupełnię wpis.
Jeżeli udostępniacie VSPC wielu organizacjom, sprawdźcie przede wszystkim, czy Advanced Mode jest u Was wyłączony. Poprawnie ograniczony zwykły widok portalu nie potwierdza jeszcze, że asystent korzysta z identycznego zakresu danych.
