SolarWinds, RCE Saldırılarını Etkinleştiren Kritik ARM Güvenlik Açığı İçin Yama Yayınladı

SolarWinds, RCE Saldırılarını Etkinleştiren Kritik ARM Güvenlik Açığı İçin Yama Yayınladı

SolarWinds, Erişim Hakları Yöneticisi (ARM) yazılımındaki uzaktan kod yürütülmesine neden olabilecek kritik bir güvenlik açığı da dahil olmak üzere iki güvenlik açığını gidermek için düzeltmeler yayınladı.

CVE-2024-28991 olarak izlenen güvenlik açığı, CVSS puanlama sisteminde maksimum 10.0 üzerinden 9.0 olarak derecelendirilmiştir.

Şirket bir danışmanlıkta “SolarWinds Erişim Hakları Yöneticisi'nin (ARM) uzaktan kod yürütme güvenlik açığına duyarlı olduğu bulundu” dedi. “Bu güvenlik açığından yararlanılırsa, kimliği doğrulanmış bir kullanıcının hizmeti kötüye kullanmasına izin vererek uzaktan kod yürütülmesine neden olur.”

Açığa 9.9 CVSS puanı veren ZDI, JsonSerializationBinder adlı bir sınıfta bulunduğunu ve kullanıcı tarafından sağlanan verilerin uygun şekilde doğrulanmamasından kaynaklandığını, böylece ARM cihazlarını daha sonra keyfi kod çalıştırmak için kötüye kullanılabilecek bir deserializasyon açığına maruz bıraktığını söyledi.

ZDI, “Bu güvenlik açığından yararlanmak için kimlik doğrulama gerekli olsa da, mevcut kimlik doğrulama mekanizması atlanabilir” dedi.

SolarWinds tarafından ayrıca ARM'de (CVE-2024-28990, CVSS puanı: 6.3), başarılı bir şekilde istismar edilirse RabbitMQ yönetim konsoluna yetkisiz erişime izin verebilecek sabit kodlu bir kimlik bilgisini açığa çıkaran orta şiddette bir kusur da ele alınmıştır.

Etkilenen Sistemler

-

IoC’ler

-

Çözüm Önerileri

Her iki sorun da ARM sürüm 2024.3.1'de düzeltilmiştir. Şu anda güvenlik açıklarının aktif olarak kullanıldığına dair bir kanıt olmamasına rağmen, kullanıcıların olası tehditlere karşı korunmak için mümkün olan en kısa sürede en son sürüme güncelleme yapmaları önerilmektedir.

Tedbirler

-

CVE / CWE

CVE-2024-28990

Ek Bilgiler

• https://nvd.nist.gov/vuln/detail/CVE-2024-28990

* CVSS 3.1 skoru (10 üzerinden) 7.0-8.9 olanlar “yüksek”, 9.0-10.0 olanlar “kritik” zafiyet olarak değerlendirilmektedir.