Solarwinds: Codeschmuggel möglich, Updates verfügbar

Solarwinds hat in der Zugriffsrechteverwaltung Access Rights Manager und der Monitoring- und Verwaltungssoftware (Orion) Platform mit neuen Softwareständen Sicherheitslecks abgedichtet. Angreifer können ohne die Flicken Schadcode aus dem Netz einschleusen. IT-Verantwortliche sollten das Update zügig vornehmen.

Gegen Ende vergangener Woche hat Solarwinds das Update auf Access Rights Manager 2023.2.3 veröffentlicht. Die aktualisierte Version dichtet fünf Sicherheitslecks ab, von denen die Solarwinds-Entwickler drei als kritisch einstufen. Es handelt sich um Directory-Traversal-Lücken (CVE-2024-23476, CVE-2024-23479, beide CVSS 9.6, Risiko “kritisch“; CVE-2024-23477, CVSS 7.9, hoch) sowie um Deserialisierung nicht vertrauenswürdiger Daten (CVE-2023-40057, CVSS 9.0, kritisch; CVE-2024-23478, CVSS 8.0, hoch).

Solarwinds: Updates für zwei Systeme

Das zweite Flickenpaket schließt zwei Sicherheitslücken in Solarwinds Platform (Orion). Die Version 2024.1 von Anfang Februar korrigiert dabei zwei sicherheitsrelevante Fehler laut Release-Notes. Bei beiden handelt es sich um SQL-Injection-Schwachstellen. Authentifizierte Angreifer können sie ausnutzen, um dadurch aus dem Netz beliebigen Code einzuschleusen und auszuführen (CVE-2023-35188, CVE-2023-50395, beide CVSS 8.0, hoch). Eine Anleitung von Solarwinds erläutert die Installation oder den Upgrade-Prozess

Da es sich um kritische und hochriskante Sicherheitslücken handelt, die Angreifer aus dem Netz missbrauchen können, um verwundbare Systeme zu kompromittieren, sollten Administratorinnen und Administratoren von den jeweiligen Solarwinds-Lösungen zügig die bereitstehenden Aktualisierungen herunterladen und anwenden.

Angreifer aus dem Netz, vermutlich staatliche gelenkte Gruppen, hatten 2020 Schwachstellen bei Solarwinds missbraucht und sind dann weiter in Unternehmen und Behörden eingebrochen, die mit der Solarwinds-Software verwaltet wurden.