SolarWinds випустив оновлення безпеки, що усувають уразливості у платформі Orion
SolarWinds випустила оновлення безпеки, які усувають вразливості платформи Orion
SolarWinds випустила оновлення безпеки, які усувають вразливості платформи Orion.
Дві виправлені вразливості (їм ще не присвоєно ідентифікатор CVE) дозволяють віддалено виконувати код. Найнебезпечнішою з них є вразливість десеріалізації JSON. З його допомогою авторизований користувач може виконувати довільний код через функцію тестових повідомлень в веб-консолі Orion, що дозволяє моделювати мережеві події (наприклад, відсутність реакції сервера), які можуть викликати відповідні повідомлення.
Друга вразливість впливає на планувальник завдань в Orion (планувальник вакансій Orion). Однак, щоб використовувати його, зловмисник повинен спочатку отримати облікові дані непривілейованого локального користувача Orion Server.
Ще однією дуже небезпечною вразливістю є CVE-2020-35856. Проблема зачіпає вкладку для додавання користувачів на сторінку конфігурації перегляду і дозволяє міжсайтові сценарії (XSS). Для його експлуатації потрібні права адміністратора на платформу Orion.
Четвертою вразливістю (CVE-2021-3109) є зворотна навігація по вкладках і зворотне табнаббінг / відкрите переспрямування на сторінці налаштувань меню. Проблема середньої небезпеки. Для його експлуатації потрібні права адміністратора на платформу Orion.
Щоб уникнути можливих атак з використанням описаних вище вразливостей, користувачам настійно рекомендується встановити Orion Platform версії 2020.2.5.
