SolarWinds, Erişim Hakları Yöneticisi yazılımında, üçü kritik olarak derecelendirilen beş uzaktan kod yürütme (RCE) güvenlik açığını düzeltti.
Hatalar, Trend Micro’nun Sıfır Gün Girişimi (ZDI) tarafından keşfedildi ve rapor edildi.
Yazılım, kullanıcıların Active Directory, Azure Active Directory, Exchange, SharePoint, OneDrive ve dosya sunucuları gibi Microsoft kaynaklarına erişimi yönetmesine ve denetlemesine olanak tanır.
SolarWinds’in tavsiyesine göre CVE-2023-40057, yazılımın güvenilmeyen verilerin seri durumdan çıkarılmasını nasıl ele aldığına ilişkin bir hatadır.
Danışmanlık belgesinde, “Bu güvenlik açığından yararlanılması halinde, kimliği doğrulanmış bir kullanıcının SolarWinds hizmetini kötüye kullanmasına ve bunun sonucunda uzaktan kod yürütülmesine olanak tanır” denildi.
Diğer iki kritik hata CVE-2024-23476 ve CVE-2024-23479’dur. Her ikisi de dizin geçiş hatalarıdır ve kimliği doğrulanmamış saldırganlar tarafından kullanılabilir.
ZDI aracılığıyla “yüksek” önem derecesine sahip iki hata daha bildirildi: CVE-2024-23477 (bir dizin geçiş hatası) ve CVE-2024-23478 (bir seri durumdan çıkarma hatası).
Güvenlik açıkları Erişim Hakları Yöneticisi 2023.2.3’te yamalı.
Ayrı bir danışma belgesinde SolarWinds, Orion Platformunda yine ZDI tarafından keşfedilen iki yüksek dereceli hatayı da açıkladı.
CVE-2023-50395 ve CVE-2023-35188, sırasıyla bir update deyimini ve bir create deyimini etkileyen SQL enjeksiyon hatalarıdır.
SolarWinds, iki hatanın yalnızca kimliği doğrulanmış bir kullanıcı tarafından kullanılabileceğini ve dolayısıyla doğada görülmediğini söyledi.
Erişim Hakları Yöneticisi’nin RCE’lere karşı en son geçen yılın Ekim ayında yama uygulamasına ihtiyacı vardı.
SolarWinds, 2020’de Microsoft gibi yüksek profilli müşterilere ulaşan büyük bir saldırıya uğradı.