PT-2024-4875 · Solarwinds · Solarwinds Access Rights Manager

CVE-2024-28074 · Publicado 2024-01-23 · Atualizado 2024-09-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas:

SolarWinds Access Rights Manager (versões afetadas não especificadas)

Descrição:

O problema está relacionado ao método createGlobalServerChannelInternal no SolarWinds Access Rights Manager, que apresenta falhas em seu mecanismo de desserialização. Isso pode ser explorado por um invasor remoto para executar código arbitrário. Descobriu-se que uma vulnerabilidade anterior não havia sido totalmente corrigida e, apesar da implementação de alguns controles, um pesquisador conseguiu contorná-los e explorar a vulnerabilidade usando um método diferente.

Recomendações:

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2024-05399

CVE-2024-28074

ZDI-24-906

Produtos afetados

Solarwinds Access Rights Manager

Referências · 11

• https://osv.dev/vulnerability/CVE-2024-28074 · Aviso do Fabricante
• https://documentation.solarwinds.com/en/success_center/arm/content/release_notes/arm_2024-3_release_notes.htm · Nota
• https://t.me/cvenotify/94067 · Publicação no Telegram
• https://bleepingcomputer.com/news/security/solarwinds-fixes-8-critical-bugs-in-access-rights-audit-software · Nota
• https://solarwinds.com/trust-center/security-advisories/cve-2024-28074 · Nota
• https://vuldb.com/ru/?id.271829 · Nota
• https://t.me/cvedetector/1085 · Publicação no Telegram
• https://zerodayinitiative.com/advisories/ZDI-24-914 · Nota
• https://zerodayinitiative.com/advisories/ZDI-24-906 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-28074 · Nota de Segurança
• https://bdu.fstec.ru/vul/2024-05399 · Nota de Segurança