IT-Management-Plattform SolarWinds über mehrere Wege angreifbar

Mit SolarWinds managen Admins IT-Geräte und verwalten Datenbanken. Aufgrund von mehreren Schwachstellen können Angreifer die Software attackieren und unter anderem eigene Befehle ausführen.

Mehrere Sicherheitslücken

Wie aus einer Mitteilung zur aktuellen abgesicherten Version 2024.2 hervorgeht, haben die Entwickler in der Managementplattform direkt drei Lücken (CVE-2024-28996 "hoch", CVE-2024-28999 "mittel", CVE-2024-29004 "hoch") geschlossen. Darunter können Angreifer unter anderem für eine persistente XSS-Attacke ansetzen. In diesem Fall können sie beim Aufruf der Webkonsole eigenen Code ausführen. Dafür benötigt ein Angreifer aber bereits im Vorfeld hohe Nutzerrechte und zudem muss ein Opfer mitspielen.

Weitere elf Schwachstellen betreffen verschiedene Komponenten von Dritten wie OpenSSL. Der Großteil der teilweise schon sieben Jahren alten Lücken ist mit dem Bedrohungsgrad "hoch" eingestuft. Nutzen Angreifer eine der Schwachstellen erfolgreich aus, können sie DoS-Zustände herbeiführen. In so einem Fall stürzt Software in der Regel ab.

Jetzt patchen!

Bislang sind noch keine Berichte zu laufenden Attacken bekannt. Admins sollten gleichwohl die gegen die geschilderten Attacken gerüstete Ausgabe 2024.2 zeitnah installieren.

In der Warnmeldung weisen die Entwickler darauf hin, dass für einige ältere SolarWinds-Versionen der Support bereits ausgelaufen ist. Diese Ausgaben bekommen keine Sicherheitsupdates mehr. Etwa für SolarWinds 2022.4 läuft der Patch-Support im Juli dieses Jahres aus. Bei 2022.3 war das im März dieses Jahres der Fall.

Welche Upgrade-Möglichkeiten es gibt, haben die Verantwortlichen in einem Supportdokument zusammengetragen.

(des)