[TLP:CLEAR] SolarWinds opravuje 3 zraniteľnosti
SolarWinds opravuje 3 zraniteľnosti v produktoch Observability Self-Hosted a Access Rights Manager [1][2][3]. Jednotlivé produkty a ich opravené verzie: SolarWinds Access Rights Manager – 2026.2.1 [1] SolarWinds Observability Self-Hosted – 2026.2.3 [2][3]
Neautentizovanému útočníkovi zo susednej siete je v dôsledku použitia pevne zakódovaného statického kľúča v produkte SolarWinds Access Rights Manager umožnené spustiť ľubovoľný kód [1].
Zraniteľnosť sa nachádza v produkte:
- SolarWinds Access Rights Manager; <2026.2.1
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-28326 na cve.org, NVD
- CWE-321: Use of Hard-coded Cryptographic Key na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 17. 9. 2026.
Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej kontroly integrity v produkte SolarWinds Observability Self-Hosted umožnené spustiť ľubovoľný kód [2].
Zraniteľnosť sa nachádza v produkte:
- SolarWinds Observability Self-Hosted; <=2026.2.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-28324 na cve.org, NVD
- CWE-345: Insufficient Verification of Data Authenticity na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 9. 2026.
Neautentizovanému útočníkovi zo susednej siete je v dôsledku deserializácie nedôveryhodných dát v produkte SolarWinds Observability Self-Hosted umožnené spustiť ľubovoľný kód [3].
Zraniteľnosť sa nachádza v produkte:
- SolarWinds Observability Self-Hosted; <2026.2.3
CVSS: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-28325 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 9. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dňa 23. 9. 2026.