SolarWinds, saldırganların ana makinede komut çalıştırmasına olanak tanıyabilecek Web Yardım Masası (WHD) çözümündeki kritik bir güvenlik açığını (CVE-2024-28986) düzeltti.
“Kimliği doğrulanmamış bir güvenlik açığı olarak bildirilmiş olsa da SolarWinds, kapsamlı testlerden sonra kimlik doğrulaması olmadan bunu yeniden üretemedi. Ancak, aşırı bir ihtiyatla, tüm Web Help Desk müşterilerine artık mevcut olan yamayı uygulamalarını öneriyoruz,” diye tavsiyede bulunuyor şirket.
CVE-2024-28986 Hakkında
SolarWinds Web Help Desk, KOBİ’ler, işletmeler ve yönetilen servis sağlayıcıları arasında popüler olan web tabanlı bir BT yardım masası çözümüdür.
Active Directory ve LDAP ile entegre edilebilir, bilet yönetimini merkezileştirir ve otomatikleştirir, merkezi bir bilgi tabanı sağlar, BT varlıklarının izlenmesine ve yönetilmesine olanak tanır ve daha fazlasını yapar.
CVE-2024-28986, Java uygulamalarındaki en yaygın güvenlik açıklarından biri olan bir Java deserialization güvenlik açığıdır. Saldırganların bir uygulamanın belleğine kötü amaçlı kod enjekte etmesine olanak tanır.
CVE-2024-28986 güvenlik araştırmacıları tarafından özel olarak ifşa edildi ve onların yardımıyla düzeltildi. Etkin bir şekilde istismar edildiğine dair hiçbir söz yok.
Güvenlik açığı WHD’nin 12.4’ten 12.8’e kadar olan sürümlerini etkiliyor.
Ne yapalım?
SolarWinds, müşterilerine kurulumlarını derhal 12.8.3 sürümüne yükseltmelerini, sağlanan düzeltmeyi (Web Help Desk 12.8.3 Düzeltme 1) uygulamalarını ve yüklemelerini talimatlandırıyor.
İkinci adım son adım değil, çünkü bazı dosyaları kopyalayıp yapıştırmaları ve dosyayı elle değiştirmeleri gerekecek, ancak neyse ki SolarWinds güvenlik uyarısında who prosedürünü açıkça açıklıyor ve ayrıca düzeltme ekinin nasıl kaldırılacağına dair talimatlar sunuyor (gerekirse).
SolarWinds, müşterilerine Web Help Desk’i kamunun yetkisiz erişiminden korunan ve internete bağlı olmayan bir sunucuya kurmalarını şiddetle tavsiye etse de, bu tavsiyeyi dikkate almayan bazı (umarız çok fazla değildir) müşteriler de vardır.
Saldırganlar yakında düzeltmeyi analiz etmeye, bir istismar tasarlamaya ve savunmasız kurulumları araştırmaya çalışabilir. SolarWinds kimlik doğrulama gereksinimi konusunda haklıysa – ve haklı olmamaları için hiçbir neden yok – kusurun başarılı bir şekilde istismar edilmesi araştırmacıların başlangıçta korktuğu kadar kolay olmayacak.