核心内容摘要
定格心动瞬间：双人互动插画GIF动图，让爱意动起来！
SolarWinds发布安全更新修复了Web Help Desk中多个安全漏洞其中包括四个可能导致身份认证绕过和远程代码执行的关键漏洞。
漏洞详情此次修复的漏洞清单如下CVE-
CVSS评分
1- 安全控制绕过漏洞可能允许未经身份验证的攻击者获得对某些受限功能的访问权限CVE-
CVSS评分
5- 硬编码凭据漏洞可能允许使用client用户账户访问管理功能CVE-
CVSS评分
8- 不可信数据反序列化漏洞可能导致远程代码执行允许未经身份验证的攻击者在主机上运行命令CVE-
CVSS评分
8- 身份认证绕过漏洞可能允许未经身份验证的攻击者执行操作和方法CVE-
CVSS评分
8- 不可信数据反序列化漏洞可能导致远程代码执行允许未经身份验证的攻击者在主机上运行命令CVE-
CVSS评分
8- 身份认证绕过漏洞可能允许攻击者在Web Help Desk中调用特定操作漏洞发现者来自Horizon
ai的Jimi Sebree被认定为前三个漏洞的发现者和报告者而watchTowr的Piotr Bazydlo因发现其余三个缺陷而获得认可。
所有问题都已在WHD
2
1版本中得到解决。
安全影响分析Rapid7表示CVE-
和CVE-
都是关键的不可信数据反序列化漏洞允许远程未经身份验证的攻击者在目标系统上实现远程代码执行并执行任意操作系统命令等有效载荷。
通过反序列化实现远程代码执行是攻击者利用的高度可靠载体由于这些漏洞可在无需身份验证的情况下被利用这两个漏洞的影响都非常严重。
虽然CVE-
和CVE-
被描述为身份认证绕过漏洞但该网络安全公司补充说它们也可能被用来获得远程代码执行能力产生与其他两个远程代码执行反序列化漏洞相同的影响。
历史漏洞回顾近年来SolarWinds已经发布了多个修复程序来解决其Web Help Desk软件中的多个缺陷包括CVE-2024-
CVE-2024-
CVE-
和CVE-
。
值得注意的是CVE-
解决了CVE-
的补丁绕过问题而CVE-
本身就是CVE-
的补丁绕过。
在2024年底美国网络安全和基础设施安全局CISA将CVE-
和CVE-
添加到其已知被利用漏洞KEV目录中理由是有证据表明这些漏洞正在被积极利用。
攻击技术细节在解释CVE-
的文章中Horizon
ai的Sebree将其描述为另一个源自AjaxProxy功能的反序列化漏洞可能导致远程代码执行。
要实现远程代码执行攻击者需要执行以下一系列操作建立有效会话并提取关键值创建LoginPref组件设置LoginPref组件的状态以允许访问文件上传功能使用JSONRPC桥接器在后台创建一些恶意Java对象触发这些恶意Java对象由于Web Help Desk中的缺陷过去曾被武器化利用客户必须迅速更新到该帮助台和IT服务管理平台的最新版本。
QAQ1SolarWinds Web Help Desk这次修复了哪些关键漏洞A此次修复了六个安全漏洞其中四个为关键漏洞包括两个远程代码执行漏洞CVE-
和CVE-
和两个身份认证绕过漏洞CVE-
和CVE-
。
这些漏洞都可以在无需身份验证的情况下被利用。
Q2CVE-
漏洞是如何被攻击者利用的A攻击者需要执行五个步骤建立有效会话并提取关键值、创建LoginPref组件、设置组件状态允许文件上传、使用JSONRPC桥接器创建恶意Java对象最后触发这些恶意对象实现远程代码执行。
Q3用户应该如何应对这些SolarWinds漏洞A用户需要立即更新到WHD
2
1版本因为所有漏洞都已在该版本中得到修复。
考虑到Web Help Desk历史上曾有漏洞被积极利用快速更新至关重要。