SolarWinds Orion多个清静误差

宣布时间 2021-02-04

0x00 误差概述

去年，，，，，，SolarWinds供应链攻击事务引发全球关注。。。

2021年02月03日，，，，，，SolarWinds Orion平台和SolarWinds Serv-U FTP效劳器被披露保存多个清静误差。。。SolarWinds Orion平台供应链攻击事务中没有使用这些误差。。。现在，，，，，，相关误差已经所有修复，，，，，，但研究职员体现，，，，，，这些误差的PoC将于02月09日宣布。。。

 

0x01 误差详情

image.png

 

本次披露的误差如下：

产品

CVE

类型

评级

SolarWinds   Orion平台

CVE-2021-25274

RCE

高危

CVE-2021-25275

信息泄露

中危

SolarWinds   Serv-U FTP效劳器

CVE-2021-25276

会见控制不当

中危

 

SolarWinds Orion远程代码执行误差（CVE-2021-25274）

SolarWinds Collector Service 使用 MSMQ（Microsoft新闻行列），，，，，，但并且未在其专用行列上设置权限，，，，，，未经身份验证的远程攻击者可以通过TCP端口1801将恶意新闻发送到行列，，，，，，在处置惩罚此类新闻时，，，，，，网络器效劳将以不清静的方法反序列化它们，，，，，，从而允许远程攻击者以LocalSystem的方法远程执行恣意代码，，，，，，最终导致效劳器被完全控制。。。

image.png

SolarWinds通过在新新闻抵达时添加数字署名验证来修复了此误差，，，，，，在没有有用的署名的情形下将不再处置惩罚新闻，，，，，，但MSMQ仍然是未经身份验证的，，，，，，可以吸收来自任何人的新闻。。。

 

SolarWinds Orion敏感信息泄露误差（CVE-2021-25275）

SolarWinds Orion后端数据库SOLARWINDS_ORION中的存储凭证被放在一个非治理员用户可读的文件中，，，，，，导致任何可以会见文件系统的用户都可以从该系统中读取Orion数据库的登录信息，，，，，，并且可使用凭证来获得Orion数据库的所有者权限。。。

image.png

 

SolarWinds Serv-U FTP （Windows）会见控制不当误差（CVE-2021-25276）

该误差保存于Windows的SolarWinds Serv-U FTP效劳器中，，，，，，任何可以外地登录或通过远程桌面登录系统的攻击者都可以通过使用此误差来登录FTP，，，，，，最终读取或替换C盘上的任何文件。。。

 

影响规模

SolarWinds Orion < 2020.2.4

SolarWinds ServU-FTP < 15.2.2 Hotfix 1

 

 

0x02 处置惩罚建议

现在相关误差已被修复，，，，，，建议升级至最新版本。。。

SolarWinds Orion Platform 2020.2.4

SolarWinds ServU-FTP 15.2.2 Hotfix 1

下载链接：

https://documentation.solarwinds.com/en/Success_Center/orionplatform/content/release_notes/orion_platform_2020-2-4_release_notes.htm

https://downloads.solarwinds.com/solarwinds/Release/HotFix/Serv-U-15.2.2-Hotfix-1.zip

 

0x03 参考链接

https://www.bleepingcomputer.com/news/security/solarwinds-patches-critical-vulnerabilities-in-the-orion-platform/

https://www.trustwave.com/en-us/resources/security-resources/security-advisories/?fid=28389

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25274

 

0x04 时间线

2021-02-03  Trustwave SpiderLabs披露误差

2021-02-04  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png