رفع آسیب‌پذیری روز صفر با شدت بحرانی در برخی از محصولات SolarWinds
آسیب‌پذیری روز صفرم با شناسه CVE-2021-35211 در محصولات Serv-U به مهاجم این امکان را خواهد داد تا از راه دور کد دلخواه خود را اجرا کرده (RCE) و از این آسیب‌پذیری بهره‌برداری کند.
این نقص امنیتی بر روی سرورهایی که SSH آن‌ها فعال باشد و همچنین محصولات Serv-U Manage File Transfer Server و Serv-U Secured FTP تأثیر خواهد گذاشت. SolarWinds از طریق شرکت مایکروسافت از این آسیب‌پذیری مطلع شد.
آسیب‌پذیری مذکور دارای شدت بحرانی بوده که در نسخه‌ی ۱۵.۲.۳ HF1 و قبل‌تر Serv-U وجود دارد و با انتشار وصله‌ی امنیتی ۱۵.۲.۳ hotfix (HF) 2 این نقص رفع شده است. گفتنی است که سایر محصولات SolarWinds و N-able (یا همان SolarWinds MSP) از جمله پلتفرم Orion و تمامی ماژول‌های آن، تحت تأثیر این آسیب‌پذیری قرار نمی‌گیرند.
مهاجم در صورت بهره‌برداری موفق از این نقص امنیتی می‌تواند در Serv-U سیستم میزبان به امتیاز دسترسی بالایی برسد. شرکت SolarWinds هنوز براوردی از تعداد مشتریانی که تحت تأثیر این آسیب‌پذیری قرار گرفته‌اند ارائه نداده است.کارشناسان امنیتی خاطر نشان کردند که این مسئله ارتباطی به حمله زنجیره‌ای SolarWinds ندارد و این شرکت برخی از شاخص‌های تشخیص (IOCs) را منتشر کرد ولی هنوز اطلاعات دقیق و جزئیات فنی این آسیب‌پذیری را فاش نکرده است. شرکت SolarWinds از کاربران خواست تا هر چه سریع‌تر نسبت به نصب بروزرسانی‌های منتشر شده و رفع این نقص امنیتی مهم اقدام کنند.
توصیه امنیتی
به‌روزرسانی‌ها و وصله‌های منتشر شده برای این آسیب‌پذیری در جدول زیر آورده شده است:
|
محصول تحت تأثیر |
روش کاهش/رفع |
|
Serv-U نسخه ۱۵.۲.۳ HF1 |
ارتقاء به نسخه‌ی ۱۵.۲.۳ HF2 از طریق مراجعه به بخش Customer Portal سایت solarwinds |
|
Serv-U نسخه ۱۵.۲.۳ |
ارتقاء به نسخه‌ی ۱۵.۲.۳ HF1 و سپس اعمال وصله‌ی Serv-U 15.2.3 HF2 از طریق مراجعه به بخش Customer Portal سایت solarwinds |
|
Serv-U تمامی نسخههای قبل از ۱۵.۲.۳ |
ارتقاء به نسخه‌ی ۱۵.۲.۳ و اعمال وصله‌ی Serv-U 15.2.3 HF1 و سپس اعمال وصله‌ی Serv-U 15.2.3 HF2 از طریق مراجعه به بخش Customer Portal سایت solarwinds |
منبع خبر:
https://www.solarwinds.com/trust-center/security-advisories/cve-2021-35211
https://securityaffairs.co/wordpress/120020/security/solarwinds-serv-u-zero-day.html
