PT-2021-17346 · Solarwinds · Solarwinds Patch Manager
Harrison Neal
·
Publicado
2021-02-24
·
Atualizado
2021-04-01
·
CVE-2021-27240
CVSS v3.1
7.8
Alta
| Vetor | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
SolarWinds Patch Manager versão 2020.2.1
Descrição:
Esta vulnerabilidade permite que invasores locais elevem privilégios nas instalações afetadas. Um invasor deve primeiro obter a capacidade de executar código com privilégios baixos no sistema alvo. A falha existe no serviço WCF DataGridService devido à falta de validação adequada dos dados fornecidos pelo usuário, resultando na desserialização de dados não confiáveis. Isso pode ser aproveitado para elevar privilégios e executar código arbitrário no contexto de Administrador.
Recomendações:
Para o SolarWinds Patch Manager versão 2020.2.1, considere desativar o serviço WCF DataGridService como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao DataGridService para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Solarwinds Patch Manager