CVE-2024-28995 - SolarWinds Serv-U Path Traversal

2024 honetako CVEen sagarekin jarraituz, gaur CVE-2024-28995 dugu. 

SolarWinds IT kudeaketa plataformak ahultasun bat jakinarazi zuen bere SolarWinds Serv-U fitxategi zerbitzarian ekainaren 5ean. Zaurgarritasuna bide-zeharkako arazo bat da, autentifikatu gabeko erasotzaile bati ostalari makinako fitxategi-sistematik edozein fitxategi eskuratzea ahalbidetzen diona. 

Kaltetutako bertsioak hauek dira: 

• SolarWinds Serv-U 15.4.2 eta aurrekoak 

Gaur egun aukeratutako IP baten sistemen ahultasun posiblea ezagutzera zuzendutako kontzeptu-frogak daude. 

Zaurgarritasuna 

Ahultasuna "/" errorako GET eskaera oso sinple baten bidez balia daiteke, "InternalDir" eta "InternalFile" bilaketa-argumentuekin. 

Honen adibide bat izan daiteke: 

Karga hauetan, "\" barrak erabiltzen dira Linux-erako eta "/" barrak Windows-erako, izan ere, Serv-U-n plataformarako egokiak diren barrak soilik iragazten dituzte ("/" Linux-en eta "\" Windows-en), eta gero konpontzen ditu. Hori dela eta, barrak gaizki bidaltzen badira, eskaerak iragazkia gainditzen du eta gero "konpontzen" da, eta ondorioz, denbora-egiaztapen-denbora-erabilera (TOCTOU) arazo bat sortzen da.  

Ondorioa 

Ekainaren 17an, Estatu Batuetako Zibersegurtasun eta Azpiegituren Segurtasun Agentziak (CISA) ahultasun hori beste batzuekin batera gehitu zuen Ustiatutako Ahultasun Ezagunen (KEV) katalogoan. 

Ahultasun hau CVSS puntuazio batekin katalogatu da: 8.6 eta CVE-2024-28995. Bere konponketari dagokionez, SolarWindsek azkar kaleratu zuen bere Serv-U 15.4.2 Hostfix 2 adabakia eta plataforma hau erabiltzen duten guztiek adabaki hau lehenbailehen eguneratzea gomendatzen da oraindik egin ez badute. 

Eta hori da CVE honetarako, C, V eta E gehiago ateratzen direnean arte. 

Javier Muñoz, Zerolynxeko zibersegurtasun analista