NCSC-2024-0421 [1.00] [M/H] Kwetsbaarheden verholpen in SolarWinds Serv-U

SolarWinds heeft kwetsbaarheden verholpen in Serv-U. Een kwaadwillende kan de kwetsbaarheid met kenmerk CVE-2024-45711 misbruiken om middels path-traversal willekeurige code uit te voeren op het onderliggende systeem. Voor succesvol misbruik moet de kwaadwillende voorafgaand geauthenticeerd zijn en code-uitvoer is mogelijk afhankelijk van de rechten van het account. Ook kan de kwaadwillende de kwetsbaarheid met kenmerk CVE-2024-45714 misbruiken om een Cross-Site-Scripting-aanval uit te voeren. Een dergelijke aanval kan leiden tot uitvoer van willekeurige code in de browser van het slachtoffer, of toegang tot gegevens in de context van de browser van het slachtoffer. Het is aannemelijk dat de kwetsbaarheden in keten kunnen worden misbruikt. Door de aard van het systeem is daarmee niet uit te sluiten dat eventuele code-uitvoer via Cross-Site-Scripting met verhoogde rechten plaatsvindt. Omdat misbruik dan via social engineering plaats kan vinden, hoeft de kwaadwillende niet over voorafgaande authenticatie te beschikken, maar maakt de kwaadwillende misbruik van de rechten van het slachtoffer.