SolarWinds vừa vá 5 lỗ hổng thực thi mã từ xa (RCE) trong giải pháp quản lý quyền truy cập (Access Rights Manager – ARM) của hãng, bao gồm 3 lỗ hổng nghiêm trọng cho phép khai thác không cần xác thực.

Các lỗ hổng CVE-2024-23476 và CVE-2024-23479 xuất phát từ điểm yếu trong quá trình truyền tải đường dẫn, trong khi lỗ hổng nghiêm trọng thứ ba CVE-2023-40057 do quá trình khử tuần tự hóa dữ liệu không đáng tin cậy.

Những kẻ tấn công không xác thực có thể khai thác cả ba để thực thi mã trên các hệ thống mục tiêu chưa được vá.

Hai lỗi khác (CVE-2024-23477 và CVE-2024-23478) cũng có thể bị khai thác trong các cuộc tấn công RCE và được SolarWinds đánh giá mức độ nghiêm trọng cao.

SolarWinds đã vá các lỗ hổng trong Access Rights Manager 2023.2.3. Công ty cho biết chưa nhận được bất kỳ báo cáo nào về việc khai thác lỗ hổng trong thực tế.

Nguồn: Bleeping Computer