SolarWinds, uzaktan kod yürütülmesine yol açabilecek kritik bir güvenlik açığı da dahil olmak üzere Erişim Hakları Yöneticisi (ARM) yazılımındaki iki güvenlik açığını gidermek için düzeltmeler yayınladı.
Güvenlik açığı, şu şekilde izlendi: CVE-2024-28991CVSS puanlama sisteminde 10.0 üzerinden 9.0 olarak derecelendirilmiştir. Güvenilmeyen verilerin seri hale getirilmesinin bir örneği olarak tanımlanmıştır.
Şirket, “SolarWinds Access Rights Manager’ın (ARM) uzaktan kod yürütme güvenlik açığına karşı hassas olduğu bulundu” dedi. söz konusu bir danışmada. “Bu güvenlik açığı istismar edilirse, kimliği doğrulanmış bir kullanıcının hizmeti kötüye kullanmasına izin verir ve bu da uzaktan kod yürütülmesine neden olur.”
Trend Micro Zero Day Initiative’den (ZDI) güvenlik araştırmacısı Piotr Bazydlo, açığı 24 Mayıs 2024’te keşfedip bildiren kişi olarak tanınıyor.
Eksikliğe 9,9’luk bir CVSS puanı atayan ZDI, bunun sınıf JsonSerializationBinder adı verilen ve kullanıcı tarafından sağlanan verilerin uygun şekilde doğrulanmamasından kaynaklanan, dolayısıyla ARM cihazlarını, daha sonra keyfi kod çalıştırmak için kötüye kullanılabilecek bir serileştirme açığına maruz bırakan bir güvenlik açığıdır.
“Bu güvenlik açığından yararlanmak için kimlik doğrulaması gerekse de mevcut kimlik doğrulama mekanizması atlatılabilir”, diyor ZDI söz konusu.
SolarWinds tarafından ayrıca ARM’de orta şiddette bir kusur da ele alındı (CVE-2024-28990CVSS puanı: 6.3) başarıyla istismar edilmesi durumunda RabbitMQ yönetim konsoluna yetkisiz erişime izin verebilecek sabit kodlanmış bir kimlik bilgisini ifşa etti.
Her iki sorun da düzeltildi ARM sürümü 2024.3.1Şu anda güvenlik açıklarının aktif olarak kullanıldığına dair bir kanıt olmasa da, kullanıcıların olası tehditlere karşı korunmak için en kısa sürede en son sürüme güncellemeleri önerilir.
Gelişme, D-Link’in çözüldü DIR-X4860, DIR-X5460 ve COVR-X1870 yönlendiricilerini etkileyen üç kritik güvenlik açığı (CVE-2024-45694, CVE-2024-45695 ve CVE-2024-45697, CVSS puanları: 9,8), keyfi kod ve sistem komutlarının uzaktan yürütülmesine olanak tanıyabilir.