SolarWinds 修复了 Access Rights Manager 中的 5 个 RCE 漏洞

关键缺陷已得到纠正，但公司仍存在问题……

SolarWinds 是著名的 IT 基础设施管理软件开发商， 已发布更新 以解决 其访问权限管理器 (ARM) 产品中的五个 远程代码执行 ( RCE )漏洞。其中，三个漏洞被评为严重漏洞，因为它们无需身份验证即可被利用。

公司使用 ARM 来管理和审核其 IT 基础设施中的访问权限，这有助于最大限度地降低与内部用户威胁相关的风险。

两个严重漏洞 CVE-2024-23476 和 CVE-2024-23479 ( CVSS 9.6) 是由于路径遍历缺陷造成的，第三个漏洞 CVE-2023-40057 (CVSS 9.0) 是由于不安全的反序列化 (Deserialization of Untrusted) 造成的数据）。未经身份验证的攻击者可利用上述所有三个漏洞在尚未更新到软件安全版本的目标系统上执行代码。

另外两个标识符为 CVE-2024-23477 和 CVE-2024-23478 （CVSS 评分为 7.9 和 8.0）的漏洞也可用于 RCE 攻击，并被归类为高严重性问题。

所有漏洞均由独立研究人员作为趋势科技零日计划 ( ZDI ) 的一部分发现。

2 月 15 日发布的 Access Rights Manager 2023.2.3 更新 包括对上面列出的所有五个漏洞的修复以及其他安全改进。 SolarWinds 发言人表示，该公司尚未收到任何有关这些漏洞实际被利用的报告。