聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
SolarWinds ARM 是一款可使组织机构在IT环境中管理和审计用户访问权限的工具，提供微软活动目录集成、基于角色的访问控制以及可视化反馈等功能。
6月22日，研究人员通过趋势科技的ZDI计划报送了8个漏洞，其中3个属于严重级别。
本周早些时候，SolarWinds 在ARM 2023.2.1 版本中发布补丁，修复了这些漏洞。三个严重RCE漏洞的简述如下：
-
CVE-2023-35182（CVSS 9.8）：‘createGlobalServerChannelInternal’ 方法中的不可信数据反序列化问题，可导致远程未认证攻击者在系统上下文中执行任意代码。
-
CVE-2023-35185（CVSS 9.8）：由于缺乏对“OpenFile”方法中用户输入路径的验证，可导致远程未认证攻击者在系统上下文中执行任意代码。
-
CVE-2023-35187（CVSS 9.8）：由于缺乏对“OpenClientUpdateFile”方法中用户输入路径的验证，可导致远程未认证攻击者在无需认证的情况下在系统上下文中执行任意代码。
在Windows 计算机的“系统”上下文中执行代码意味着它在该机器上以最高权限运行。系统是为操作系统和服务保留的一个内部账号。获得该权限的攻击者可完全控制受害者机器上的所有文件。
余下的安全问题均为高危漏洞，可导致攻击者提升权限或在认证后在主机上执行任意代码。SolarWinds 公司上周发布安全公告，说明了这八个漏洞及其严重性评级。
值得注意的是，该公司并未将任何一个漏洞评级为“严重”，最高评级分数为8.8分，属于“高危”级别。
https://www.bleepingcomputer.com/news/security/critical-rce-flaws-found-in-solarwinds-access-audit-solution/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
原文始发于微信公众号（代码卫士）：SolarWinds 访问审计解决方案中存在严重的RCE漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论