SolarWinds Web Help Desk是 0day时或已遭利用

美国网络安全局CISA在上周四提醒称，位于SolarWinds Web Help Desk 中一个新的严重漏洞已遭利用。

该漏洞的编号为CVE-2024-28986（CVSS评分9.8），是一个Java 反序列化远程代码执行 (RCE) 漏洞，可导致攻击者在主机机器上运行命令。SolarWinds 公司宣布发布热修复方案解决该漏洞，表示成功利用需进行认证，但并未提及在野利用。

SolarWinds 公司在安全公告中提到，“虽然该漏洞被报道为未认证漏洞，但 SolarWinds 无法在全面测试之后不经过认证的情况下进行复现。” 不过该公司确实建议所有客户应用补丁，而该补丁仅适用于 Web Help Desk 12.8.3.1813，该公司督促之前版本用户尽快升级。该漏洞影响 12.4至12.8版本。SolarWinds 更新其安全公告提醒称，如果使用了SAML 单点登录，则不应应用该热修复方案。

就在 SolarWinds 公司发布该热修复方案的两天后，CISA “根据活跃利用的证据”，将CVE-2024-28986纳入“已知已遭利用漏洞 (KEV)”分类表。研究人员猜测，虽然CISA并未提供关于该利用的性情，但公开披露和纳入KEV分类表之间的短暂窗口说明，该漏洞可能在0day 漏洞状态已遭利用。另外，研究人员认为卫星通信公司 Inmarsat和Viasat（都出现在 SolarWinds 安全公告）或它们的一名客户可能因该漏洞遭利用而受陷。

按照BOD 22-01的要求，联邦机构应在9月5日前在他们各自的环境中找到并修复易受攻击的 SolarWinds Web Help Desk 实例。虽然BOD22-01仅应用于联邦机构，但建议所有组织机构查看 SolarWinds公司的安全公告并尽快应用必要的缓解措施。