CVE-2024-28074
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Odkryto, że poprzednia podatność nie została całkowicie naprawiona w SolarWinds Access Rights Manager. Chociaż wdrożono pewne mechanizmy kontroli, badacz zdołał je obejść i użyć innej metody do wykorzystania podatności.
Ocena ryzyka
Atakujący może obejść istniejące zabezpieczenia i wykorzystać podatność, co może prowadzić do naruszenia bezpieczeństwa systemu.
Rekomendacja
Zaktualizuj SolarWinds ARM do najnowszej wersji zawierającej kompleksową poprawkę.
Inne podatności w SolarWinds Access Rights Manager
Zobacz wszystkie- CVE-2024-23472Krytyczne
SolarWinds Access Rights Manager (ARM) jest podatny na podatność Directory Traversal. Umożliwia ona uwierzytelnionemu użytkownikowi na dowolne odczytywanie i usuwanie plików w ARM.
- CVE-2024-23471Krytyczne
SolarWinds Access Rights Manager jest podatny na podatność zdalnego wykonania kodu. W przypadku wykorzystania podatność pozwala uwierzytelnionemu użytkownikowi na nadużycie usługi SolarWinds, co skutkuje zdalnym wykonaniem kodu.
- CVE-2024-23469Krytyczne
SolarWinds Access Rights Manager (ARM) jest podatny na podatność Remote Code Execution. W przypadku wykorzystania pozwala nieuwierzytelnionemu użytkownikowi na wykonywanie działań z uprawnieniami SYSTEM.
- CVE-2024-23467Krytyczne
SolarWinds Access Rights Manager jest podatny na podatność Directory Traversal i ujawnienie informacji. Podatność pozwala nieuwierzytelnionemu użytkownikowi na zdalne wykonanie kodu.
- CVE-2024-23466Krytyczne
SolarWinds Access Rights Manager (ARM) jest podatny na podatność Directory Traversal umożliwiającą zdalne wykonanie kodu. W przypadku wykorzystania podatność pozwala nieuwierzytelnionemu użytkownikowi na wykonywanie działań z uprawnieniami SYSTEM.
- CVE-2026-28326Wysokie
SolarWinds Access Rights Manager został zgłoszony jako podatny na nieuwierzytelnione zdalne wykonanie kodu. Problem wynika z użycia wbudowanego, statycznego klucza.
Oryginalny opis (angielski, źródło NVD)
It was discovered that a previous vulnerability was not completely fixed with SolarWinds Access Rights Manager. While some controls were implemented the researcher was able to bypass these and use a different method to exploit the vulnerability.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS