Neue Version von SolarWinds Access Rights Manager behebt Codeschmuggel-LĂĽcken
Die Software zur Verwaltung von Zugriffsberechtigungen hat unter anderem Fehler, die eine Rechteausweitung ermöglichten. Admins sollten zügig handeln.
(Bild: Sashkin/Shutterstock.com)
- Dr. Christopher Kunz
Im SolarWinds Access Rights Manager klaffen gleich acht Sicherheitslücken mit hohem Schweregrad. Immerhin ein halbes Dutzend dieser Lücken erlaubt Angreifern die Ausführung eigenen Codes und schrammt nur deswegen knapp am Schweregrad "kritisch" vorbei, weil die Sicherheitslecks nicht über das Internet ausgenutzt werden können. Zwei weitere Programmierfehler ermöglichen Nutzern mit einem aktiven Konto, ihre Rechte auszuweiten. SolarWinds hat eine neue Version veröffentlicht, Admins sollten sich zügig um ein Update kümmern.
Der "Access Rights Manager", kurz ARM, ist eine umfangreiche Werkzeugsammlung zur Verwaltung, Prüfung und Vergabe von Zugriffsrechten in Microsoft-Umgebungen. Hersteller SolarWinds ist kein Unbekannter: Vermutlich russische Angreifer hatten die Firma 2020 gehackt und als Sprungbrett für einen weitreichenden Supply-Chain-Angriff missbraucht. Die US-Regierung verhängte aufgrund des IT-Einbruchs gar Sanktionen gegen Russland.
Acht LĂĽcken fĂĽr Rechteausweitung und Codeschmuggel
Im Einzelnen hat SolarWinds die folgenden Sicherheitslöcher mit hohem Schweregrad in ARM geflickt:
- CVE-2023-35182 und CVE-2023-35184 (je CVSS 8.8/10) erlaubten beliebigen Nutzern ohne vorherige Anmeldung die AusfĂĽhrung eigenen Codes.
- CVE-2023-35185 und CVE-2023-35187 (je 8.8/10): Angreifer konnten sich im Verzeichnisbaum hochhangeln und so eigene Kommandos mit den Privilegien SYSTEM ausfĂĽhren.
- CVE-2023-35180 (8.0/10): Durch unsichere Deserialisierung von Eingabewerten konnten angemeldete Nutzer ĂĽber das API Befehle einschleusen.
- CFE-2023-35186 (8.0/10): Authentifizierte Nutzer konnten den SolarWinds-Dienst dazu bringen, eingeschleusten Code auszufĂĽhren - auch hier war eine unsichere Deserialisierung verantwortlich.
- CVE-2023-35181 und CVE-2023-35183 (je 7.8/10): Falsch gesetzte Ordnerberechtigungen erlaubten angemeldeten Nutzern die Ausweitung ihrer Rechte.
Videos by heise
Die SicherheitslĂĽcken klaffen in der Version 2023.2 und sind mit Version 2023.2.1 behoben. Zudem behebt SolarWinds neben den Sicherheitsfehlern noch einige weitere Probleme.
Gemäß SolarWinds' Einschätzung sind die Bugs nicht über das Internet ausnutzbar, sondern lediglich aus dem lokalen Netzwerk, in dem sich der ARM befindet. Dennoch sollten Admins, die den Access Rights Manager verwenden, nicht mit der Aktualisierung zögern – ein erfolgreicher Angriff auf ein System zur Rechteverwaltung dürfte empfindliche Folgen haben.
(cku)
