Η SolarWinds έχει επιδιορθώσει πέντε ελαττώματα απομακρυσμένης εκτέλεσης κώδικα (RCE) στη λύση Access Rights Manager (ARM), συμπεριλαμβανομένων τριών κρίσιμων τρωτών σημείων σοβαρότητας που επιτρέπουν μη επαληθευμένη εκμετάλλευση.
Το Access Rights Manager επιτρέπει σ
τι
ς εταιρείες να διαχειρίζονται και να ελέγχουν τα δικαιώματα πρόσβασης σε όλη την υποδομή πληροφορικής τους για να ελαχιστοποιούν τον αντίκτυπο των εσωτερικών απειλών και πολλά άλλα.
Τα CVE-2024-23476 και CVE-2024-23479 οφείλονται σε
διάβαση μονοπατιού
αδυναμίες, ενώ το τρίτο κρίσιμο ελάττωμα που παρακολουθείται ως CVE-2023-40057 προκαλείται από
αποσημείωση μη αξιόπιστων δεδομένων
.
Οι μη επαληθευμένοι εισβολείς μπορούν να εκμεταλλευτούν και τα τρία για να κερδίσουν την εκτέλεση κώδικα σε στοχευμένα συστήματα που δεν έχουν επιδιορθωθεί.
Τα άλλα δύο
σφάλματα
(CVE-2024-23477 και CVE-2024-23478) μπορούν επίσης να χρησιμοποιηθούν σε επιθέσεις RCE και έχουν αξιολογηθεί από τη SolarWinds ως ζητήματα υψηλής σοβαρότητας.
Τέσσερα από τα πέντε ελαττώματα που διορθώθηκαν από τη SolarWinds αυτή την εβδομάδα βρέθηκαν και αναφέρθηκαν από ανώνυμους ερευνητές που συνεργάζονται με το Zero Day Initiative (ZDI) της Trend Micro, με το πέμπτο να ανακαλύφθηκε από τον ερευνητή ευπάθειας του ZDI, Piotr Bazydło.
Η SolarWinds διόρθωσε τα ελαττώματα
Διαχείριση δικαιωμάτων πρόσβασης 2023.2.3
το οποίο κυκλοφόρησε αυτήν την Πέμπτη με διορθώσεις σφαλμάτων και ασφαλείας.
Η εταιρεία δεν έχει ακόμη κοινοποιήσει εάν κάποιο από αυτά τα τρωτά σημεία έχει γίνει αντικείμενο εκμετάλλευσης σε επιθέσεις πριν από την ενημέρωση κώδικα και να προσθέσει τις συμβουλές ασφαλείας στη δημόσια λίστα που είναι διαθέσιμη στο
Κέντρο εμπιστοσύνης της SolarWinds
.
Η SolarWinds διόρθωσε επίσης τρία άλλα σημαντικά σφάλματα Access Rights Manager RCE τον Οκτώβριο, επιτρέποντας στους εισβολείς να εκτελούν κώδικα με δικαιώματα SYSTEM.
| CVE-ID | Τίτλος ευπάθειας | Αυστηρότητα |
|---|---|---|
| CVE-2023-40057 | SolarWinds ARM Deserialization μη αξιόπιστων δεδομένων απομακρυσμένης εκτέλεσης κώδικα | 9.0 Κρίσιμο |
| CVE-2024-23476 | SolarWinds Access Rights Manager Directory Traversal Απομακρυσμένη εκτέλεση κώδικα | 9.6 Κρίσιμο |
| CVE-2024-23477 | SolarWinds Access Rights Manager Directory Traversal Απομακρυσμένη εκτέλεση κώδικα | 7,9 Υψηλό |
| CVE-2024-23478 | SolarWinds ARM Deserialization μη αξιόπιστων δεδομένων απομακρυσμένης εκτέλεσης κώδικα | 8,0 Υψηλό |
| CVE-2024-23479 | SolarWinds Access Rights Manager Directory Traversal Απομακρυσμένη εκτέλεση κώδικα | 9.6 Κρίσιμο |
Μάρτιος 2020 Επίθεση στην εφοδιαστική αλυσίδα της SolarWinds
Πριν από τέσσερα χρόνια, η ρωσική ομάδα hacking APT29 διείσδυσε στα εσωτερικά συστήματα της SolarWinds, εισάγοντας κακόβουλο κώδικα στις εκδόσεις της πλατφόρμας διαχείρισης πληροφορικής SolarWinds Orion που κατέβασαν πελάτες μεταξύ Μαρτίου 2020 και Ιουνίου 2020.
Αυτά τα trojanized build διευκόλυναν την ανάπτυξη του Sunburst backdoor σε χιλιάδες συστήματα, αλλά οι εισβολείς στόχευσαν επιλεκτικά έναν σημαντικά μικρότερο αριθμό οργανισμών για περαιτέρω εκμετάλλευση.
Με
πελατολόγιο που ξεπερνά τις 300.000 παγκοσμίως
η SolarWinds εκείνη την εποχή εξυπηρετούσε το 96% των εταιρειών του Fortune 500, συμπεριλαμβανομένων εταιρειών υψηλού προφίλ όπως η Apple, η Google και η Amazon, καθώς και κυβερνητικοί οργανισμοί όπως ο Στρατός των ΗΠΑ, το Πεντάγωνο, το State Department, η
NASA
, η NSA, η Ταχυδρομική Υπηρεσία, η NOAA, Υπουργείο Δικαιοσύνης και το Γραφείο του Προέδρου των Ηνωμένων Πολιτειών.
Μετά την
αποκάλυψη
της επίθεσης στην εφοδιαστική αλυσίδα, πολλές κυβερνητικές υπηρεσίες των ΗΠΑ επιβεβαίωσαν ότι παραβιάστηκαν, συμπεριλαμβανομένων των Υπουργείων
κατάσταση
,
Εσωτερική ασφάλεια
,
Ταμείο
και Ενέργεια, καθώς και το
Εθνική Διοίκηση Τηλεπικοινωνιών και Πληροφοριών
(ΝΤΙΑ), η
Εθνικά Ινστιτούτα Υγείας
και της Εθνικής Διοίκησης Πυρηνικής
Ασφάλεια
ς.
Τον Απρίλιο του 2021, η κυβέρνηση των Ηνωμένων Πολιτειών κατηγόρησε επισήμως τη Ρωσική Υπηρεσία Εξωτερικών Πληροφοριών (SVR) για ενορχήστρωση της κυβερνοεπίθεσης της SolarWinds.
Τον Οκτώβριο, η Επιτροπή Κεφαλαιαγοράς των ΗΠΑ (SEC) κατηγόρησε τη SolarWinds για εξαπάτηση επενδυτών, φέροντας ότι δεν τους ειδοποίησε για ζητήματα άμυνας στον κυβερνοχώρο πριν από την εισβολή του 2020.
VIA:
bleepingcomputer.com
