Güvenlik araştırmacıları, SolarWinds Access Hakları Yöneticisi (ARM) ürününde, uzak saldırganların sistem ayrıcalıklarıyla kodu çalıştırmak için kullanabileceği üç kritik uzaktan kumanda yürütme güvenlik açıkları buldular.
SolarWinds ARM, kuruluşların BT ortamlarında kullanıcı erişim haklarını yönetmelerini ve denetlemelerini sağlayan bir araçtır. Microsoft Active Directory entegrasyonu, rol tabanlı erişim kontrolü, görsel geri bildirim ve daha fazlasını sunar.
Trend Micro’nun Sıfır Günü Girişimi (ZDI) sayesinde araştırmacılar, 22 Haziran'da üçü kritik şiddete sahip Solarwinds çözümünde sekiz kusur bildirdiler.
Satıcı, bu hafta başlarında tüm güvenlik açıklarını, erişim hakları yöneticisinin 2023.2.1 sürümünde bulunan bir yama ile ele aldı.
Aşağıda üç kritik uzaktan kod yürütme (RCE) için açıklama ve tanımlayıcı:
Windows bilgisayarlarda “sistem” bağlamında kod yürütmek, makinedeki en yüksek ayrıcalıklara sahip olduğu anlamına gelir.
Sistem, işletim sistemi ve hizmetleri için ayrılmış bir dahili hesaptır. Bu ayrıcalık seviyesini kazanan saldırganlar, kurban makinesindeki tüm dosyalar üzerinde tam kontrole sahiptir.
Solarwinds'in erişim sağ yöneticisinde ele aldığı güvenlik sorunlarının geri kalanı yüksek şiddettir ve saldırganlar, kimlik doğrulamasından sonra izinleri artırmak veya ana bilgisayarda keyfi kod yürütmek için bunları kullanabilir.
Solarwinds, bu hafta şirket tarafından değerlendirildiği üzere sekiz güvenlik açıklarını ve şiddet derecelerini açıklayan bir danışmanlık yayınladı.
Şirketin güvenlik sorunlarının hiçbirini kritik ve en yüksek derecelendirmenin yüksek şiddetli sorunlar için 8,8 olduğunu belirtmek gerekir.
Sıfır günlük RCE saldırılarına maruz kalan milyonlarca exim posta sunucusu
Yasalaşmamış RCE kusuruna karşı savunmasız binlerce ardıç cihazı
Kritik uzaktan kod yürütme kusurlarına karşı savunmasız asus yönlendiricileri
Fidye yazılımı çeteleri artık kritik TeamCity RCE kusurundan yararlanıyor
Hackerlar Kaçırma Citrix NetScaler Oturum Açma Sayfaları Kimlik Bilgilerini Çalmak İçin
Kaynak: Bleeping Computer