SolarWinds, Erişim Hakları Yöneticisi (ARM) ve (Orion) Platformu için, saldırganların savunmasız kurulumlarda kod yürütmesine izin verebilecek güvenlik açıklarını gideren güncellemeler yayınladı.
SolarWinds ARM kusurları düzeltildi
Orion BT yönetim platformunun 2020 yılında belirli kurumların ve şirketlerin sistemlerine arka kapılar dağıtmak üzere kötü bir şekilde ele geçirildiği şirket SolarWinds, Erişim Hakları Yöneticisi (ARM) çözümünü etkileyen beş güvenlik açığını düzeltti.
SolarWinds ARM, kuruluşlar tarafından BT altyapılarındaki erişim haklarını yönetmek ve denetlemek için kullanılır.
SolarWinds ARM’deki sabit güvenlik açıklarının tümü, Trend Micro Zero Day Initiative (ZDI) araştırmacısı Piotr Bazydło veya aynı yazılım güvenlik açığı avlama programıyla çalışan anonim araştırmacılar tarafından özel olarak rapor edildi. Şu anda bunların saldırganlar tarafından istismar edildiğinden bahsedilmiyor.
CVE-2024-23476, CVE-2024-23479 ve CVE-2024-23477, kimliği doğrulanmamış saldırganların RCE’ye ulaşmak için yararlanabileceği (kritik) dizin geçiş kusurlarıdır.
CVE-2023-40057 ve CVE-2024-23478, aynı zamanda uzaktan kod yürütülmesine de yol açabilen, ancak kullanılmadan önce başarılı kimlik doğrulaması gerektiren, güvenilmeyen veri hatalarının (yüksek önem dereceli) seri durumdan çıkarılmasıdır.
Güvenlik açıkları SolarWinds ARM v2023.2’yi etkiliyor ve v2023.2.3’te düzeltildi. Hiçbir alternatif hafifletme veya geçici çözüm paylaşılmadığından, yöneticilerin sabit bir sürüme yükseltmeleri önerilir.
SolarWinds (Orion) Platform kusurları düzeltildi
Şirket ayrıca SolarWinds Platformunu (eski adıyla SolarWinds Orion Platformu) 2024.1 sürümüne yükseltti; yeni özellikler (bunların arasında yerel hesaplar için yeni parola gereksinimleri de vardı) ve aynı zamanda çok sayıda hata ve iki SQL enjeksiyon güvenlik açığına yönelik düzeltmeler de mevcut: CVE-2023- 50395 ve CVE-2023-35188.
Her ikisi de Piotr Bazydło tarafından bildirildi ve uzak saldırganların SolarWinds Platformunun etkilenen kurulumlarında (önceden kimlik doğrulaması yapılarak) rastgele kod çalıştırmasına izin verebilir.
Her ikisi de AppendCreatePrimary yönteminde bulunur ve kullanıcı tarafından sağlanan bir dizenin SQL sorguları oluşturmak için kullanılmadan önce uygun şekilde doğrulanmamasından kaynaklanır.