SolarWinds a publié des correctifs pour corriger une vulnérabilité de sécurité critique dans son logiciel Web Help Desk qui pourrait être exploitée pour exécuter du code arbitraire sur des instances sensibles.
La faille, identifiée comme CVE-2024-28986 (score CVSS : 9,8), a été décrite comme un bug de désérialisation.
« Le service d’assistance Web de SolarWinds s’est avéré vulnérable à une vulnérabilité d’exécution de code à distance de désérialisation Java qui, si elle était exploitée, permettrait à un attaquant d’exécuter des commandes sur la machine hôte », a déclaré la société. dit dans un avis consultatif.
« Bien qu’il ait été signalé comme une vulnérabilité non authentifiée, SolarWinds n’a pas été en mesure de la reproduire sans authentification après des tests approfondis. »
La faille affecte toutes les versions de SolarWinds Web Help Desk, y compris et avant la version 12.8.3. Elle a été corrigée dans correctif version 12.8.3 HF 1.
Cette divulgation intervient alors que Palo Alto Networks a corrigé une vulnérabilité de haute gravité affectant Cortex XSOAR qui pourrait entraîner une injection de commandes et une exécution de code.
Attribué à l’identifiant CVE CVE-2024-5914 (score CVSS : 7,0), le défaut affecte toutes les versions de Cortex XSOAR CommonScripts antérieures à 1.12.33.
« Un problème d’injection de commande dans Palo Alto Networks Cortex XSOAR CommonScripts Pack permet à un attaquant non authentifié d’exécuter des commandes arbitraires dans le contexte d’un conteneur d’intégration », a déclaré la société dit.
« Pour être exposée, une intégration doit utiliser les scripts ScheduleGenericPolling ou GenericPollingScheduledTask du pack CommonScripts. »
Palo Alto Networks s’attaque également à deux problèmes de gravité modérée répertoriés ci-dessous :
- CVE-2024-5915 (Score CVSS : 5,2) – Une vulnérabilité d’escalade de privilèges (PE) dans l’application GlobalProtect sur les appareils Windows qui permet à un utilisateur local d’exécuter des programmes avec des privilèges élevés
- CVE-2024-5916 (Score CVSS : 6,0) – Une vulnérabilité d’exposition d’informations dans le logiciel PAN-OS qui permet à un administrateur système local d’accéder aux secrets, aux mots de passe et aux jetons de systèmes externes
Il est recommandé aux utilisateurs de mettre à jour vers la dernière version pour atténuer les risques potentiels. Par mesure de précaution, il est également conseillé de révoquer les secrets, mots de passe et jetons configurés dans les pare-feu PAN-OS après la mise à niveau.