A SolarWinds lançou uma correção para solucionar duas falhas de segurança em seu software Access Rights Manager (ARM), incluindo uma vulnerabilidade crítica que pode permitir a execução remota de código.
Vulnerabilidade, seguida por CVE-2024-28991avaliado em 9,0 de 10,0 no sistema de pontuação CVSS. É descrito como um exemplo de descarte de dados não confiáveis.
“O SolarWinds Access Rights Manager (ARM) foi considerado vulnerável à execução remota de código”, disse a empresa em um comunicado. “Se explorada, esta vulnerabilidade permitiria que um usuário autorizado abusasse do serviço, resultando na execução remota de código.”
O pesquisador de segurança Piotr Bazydlo, da Trend Micro Zero Day Initiative (ZDI), foi creditado por descobrir e relatar o bug em 24 de maio de 2024.
A ZDI, que deu à deficiência uma pontuação CVSS de 9,9, disse que ela existe dentro de uma classe chamada JsonSerializationBinder e é causada pela falta de validação adequada dos dados fornecidos pelo usuário, expondo assim os dispositivos ARM ao risco de desserialização que pode ser abusada por emitindo código inadequado.
“Embora a autenticação seja necessária para explorar esta vulnerabilidade, o mecanismo de autenticação existente pode ser contornado”, disse ZDI.
Também alvo da SolarWinds é uma falha de tamanho médio no ARM (CVE-2024-28990, pontuação CVSS: 6,3) que expôs informações codificadas, que, se exploradas com sucesso, poderiam permitir acesso não autorizado ao console de gerenciamento RabbitMQ.
Ambos os problemas estão documentados na versão 2024.3.1 do ARM. Embora atualmente não haja evidências de uma exploração ativa da vulnerabilidade, recomenda-se que os usuários atualizem para a versão mais recente o mais rápido possível para se protegerem contra ameaças potenciais.
O desenvolvimento ocorre no momento em que a D-Link resolveu três vulnerabilidades que afetam os roteadores DIR-X4860, DIR-X5460 e COVR-X1870 (CVE-2024-45694, CVE-2024-45695 e CVE-2024-45697: 95697, pontuações CVSS8 , CV. ) que permitem a execução remota de código com comandos do sistema.
