SolarWinds Orion多个安全缝隙

颁布功夫 2021-02-04

0x00 缝隙概述

去年，SolarWinds供给链攻击事务引发全球关注。

2021年02月03日，SolarWinds Orion平台和SolarWinds Serv-U FTP服务器被披露存在多个安全缝隙。SolarWinds Orion平台供给链攻击事务中没有利用这些缝隙。目前，有关缝隙已经全数建复，但钻研人员暗示，这些缝隙的PoC将于02月09日颁布。

 

0x01 缝隙详情

image.png

 

本次披露的缝隙如下：

产品

CVE

类型

评级

SolarWinds   Orion平台

CVE-2021-25274

RCE

高危

CVE-2021-25275

信息泄露

中危

SolarWinds   Serv-U FTP服务器

CVE-2021-25276

接见节造不当

中危

 

SolarWinds Orion远程代码执行缝隙（CVE-2021-25274）

SolarWinds Collector Service 使用 MSMQ（Microsoft新闻队列），但并且未在其专用队列上设置权限，未经身份验证的远程攻击者能够通过TCP端口1801将恶意新闻发送到队列，在处置此类新闻时，网络器服务将以不安全的方式反序列化它们，从而允许远程攻击者以LocalSystem的方式远程执行肆意代码，最终导致服务器被齐全节造。

image.png

SolarWinds通过在新新闻达到时增长数字署名验证来建复了此缝隙，在没有有效的署名的情况下将不再处置新闻，但MSMQ依然是未经身份验证的，能够接管来自任何人的新闻。

 

SolarWinds Orion敏感信息泄露缝隙（CVE-2021-25275）

SolarWinds Orion后端数据库SOLARWINDS_ORION中的存储凭证被放在一个非治理员用户可读的文件中，导致任何能够接见文件系统的用户都能够从该系统中读取Orion数据库的登录信息，并且可使用凭证来获得Orion数据库的所有者权限。

image.png

 

SolarWinds Serv-U FTP （Windows）接见节造不当缝隙（CVE-2021-25276）

该缝隙存在于Windows的SolarWinds Serv-U FTP服务器中，任何能够本地登录或通过远程桌面登录系统的攻击者都能够通过利用此缝隙来登录FTP，最终读取或代替C盘上的任何文件。

 

影响领域

SolarWinds Orion < 2020.2.4

SolarWinds ServU-FTP < 15.2.2 Hotfix 1

 

 

0x02 措置建议

目前有关缝隙已被建复，建议升级至最新版本。

SolarWinds Orion Platform 2020.2.4

SolarWinds ServU-FTP 15.2.2 Hotfix 1

下载链接：

https://documentation.solarwinds.com/en/Success_Center/orionplatform/content/release_notes/orion_platform_2020-2-4_release_notes.htm

https://downloads.solarwinds.com/solarwinds/Release/HotFix/Serv-U-15.2.2-Hotfix-1.zip

 

0x03 参考链接

https://www.bleepingcomputer.com/news/security/solarwinds-patches-critical-vulnerabilities-in-the-orion-platform/

https://www.trustwave.com/en-us/resources/security-resources/security-advisories/?fid=28389

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-25274

 

0x04 功夫线

2021-02-03  Trustwave SpiderLabs披露缝隙

2021-02-04  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：http://www.first.org/cvss/

image.png