Multiples vulnérabilités dans Solarwinds

Date de publication :

Une désérialisation de données consiste à extraire des données afin de reconstruire un objet. L'absence de vérification des données avant une désérialisation peut provoquer des modifications du dit objet.

CVE-2022-36958[Score CVSS v3.1: 8.8]
Une désérialisation de données non sécurisée dans la console web de Solarwinds Platform permet à un attaquant, d’exécuter du code arbitraire sur le système.

CVE-2022-38108 et CVE-2022-36957[Score CVSS v3.1:7.2]
Une désérialisation de données non sécurisée dans la console web de Solarwinds Orion Platform permet à un attaquant ayant les droits administrateur, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire

Criticité

  • Score CVSS v3.1: 8.8 max

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées.

Un correctif existe

  • Non, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

  • Pour l’ensemble des CVE présentées

CWE-502: Deserialization of Untrusted Data

Détails sur l’exploitation

Pour la CVE-2022-36958

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur simple.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Pour les CVE-2022-38108 et CVE-2022-36957

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Authentification utilisateur privilégié.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour l’ensemble des CVE présentées

  • SolarWinds Platform version 2022.3 et les versions antérieures
  • Orion Platform version 2020.2.6 HF5 et les versions antérieures

Solutions ou recommandations

Pour l’ensemble des CVE présentées

  • Mettre à jour SolarWinds Platform vers la version 2022.4 RC1 lorsque la mise à jour sera disponible.
  • SolarWinds propose un guide de configuration pour limiter les risques, disponible ici.

Liens