Vulnerabilidades de ejecución remota de código en SolarWinds
Investigadores de la Iniciativa de Día Cero (ZDI) identificaron tres vulnerabilidades críticas en el producto SolarWinds Access Rights Manager (ARM). Estas fallas permiten a los atacantes ejecutar código con privilegios de SYSTEM, lo que representa un riesgo significativo para la seguridad de las organizaciones.
Función y propósito del SolarWinds ARM
El SolarWinds Access Rights Manager es una herramienta diseñada para permitir a las organizaciones administrar y auditar los derechos de acceso de sus usuarios en entornos de TI. Ofrece integración con Microsoft Active Directory, control de acceso basado en roles, comentarios visuales y otras funcionalidades.
Descubrimiento y reporte de las vulnerabilidades
A través de la Iniciativa de Día Cero (ZDI) de Trend Micro, los investigadores informaron ocho fallas en la solución SolarWinds el 22 de junio. Tres de estas vulnerabilidades se clasificaron como críticas.
Respuesta del proveedor
El proveedor abordó todas las vulnerabilidades a principios de esta semana, publicando un parche disponible en la versión 2023.2.1 de Access Rights Manager.
Vulnerabilidades críticas identificadas
A continuación se detallan las tres vulnerabilidades de ejecución remota de código (RCE) críticas encontradas:
- CVE-2023-35182: Atacantes remotos no autenticados pueden ejecutar código arbitrario en el contexto de SYSTEM debido a la deserialización de datos que no son de confianza en el método «createGlobalServerChannelInternal».
- CVE-2023-35185: Atacantes remotos no autenticados pueden ejecutar código arbitrario en el contexto de SYSTEM debido a la falta de validación de las rutas proporcionadas por el usuario en el método «OpenFile».
- CVE-2023-35187: Atacantes remotos no autenticados pueden ejecutar código arbitrario en el contexto de SYSTEM sin autenticación debido a la falta de validación de las rutas proporcionadas por el usuario en el método «OpenClientUpdateFile».
Impacto de las vulnerabilidades
Ejecutar código en el contexto de «SYSTEM» en Windows significa que se ejecuta con los privilegios más altos en la máquina. SYSTEM es una cuenta interna reservada para el sistema operativo y sus servicios. Los atacantes que obtienen este nivel de privilegios tienen control total sobre todos los archivos en la máquina víctima.
Otras vulnerabilidades reportadas
El resto de las fallas de seguridad identificadas en SolarWinds Access Rights Manager son de alta gravedad. Los atacantes podrían explotarlas para aumentar los permisos o ejecutar código arbitrario en el host después de la autenticación.
Publicación del aviso
SolarWinds publicó un aviso esta semana que describe las ocho vulnerabilidades y su clasificación de gravedad, según la evaluación de la empresa.
Clasificación de los problemas reportados
Vale la pena señalar que la empresa no calificó ninguno de los problemas de seguridad como críticos. La calificación más alta es 8,8, para problemas de alta gravedad.
