Spätná väzba k reportu

Neautentizovanému vzdialenému útočníkovi je v produkte Web Help Desk umožnené vykonať vzdialené spustenie kódu [1].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Web Help Desk; <=12.8.3HF2

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-28988 na cve.org, NVD
• CWE-502: Deserialization of Untrusted Data na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 15. 10. 2024.

Autentizovanému lokálnemu útočníkovi je v produkte Platform umožnené zvýšiť svoje oprávnenia [2].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Platform; <=2024.2.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45710 na cve.org, NVD
• CWE-427: Uncontrolled Search Path Element na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 10. 2024.

Autentizovanému vzdialenému útočníkovi je v produkte Serv-U umožnené vykonať vzdialené spustenie kódu [4].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Serv-U; <=15.4.2

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2024-45711 na cve.org, NVD
• CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 16. 10. 2024.

Autentizovanému útočníkovi v lokálnej sieti je umožnené v produkte Platform vykonať XSS útok [3].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Platform; <=2024.2.1

CVSS: CVSS:3.1/AV:A/AC:L/PR:H/UI:R/S:C/C:H/I:L/A:L

Viac informácií:

• CVE-2024-45715 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 17. 10. 2024.

Autentizovanému útočníkovi v lokálnej sieti je v produkte Serv-U umožnené zmeniť premennú s payloadom [5].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Serv-U; <=15.4.2.3

CVSS: CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:L

Viac informácií:

• CVE-2024-45714 na cve.org, NVD
• CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 16. 10. 2024.

Autentizovanému lokálnemu útočníkovi je v produkte Kiwi CatTools umožnené získať citlivé informácie, ak bolo povolené iné ako predvolené nastavenie na účely riešenia problémov [6].

Zraniteľnosť sa nachádza v produkte:

• SolarWinds Kiwi CatTools; <=3.12

CVSS: CVSS:3.1/AV:L/AC:H/PR:H/UI:R/S:U/C:H/I:L/A:L

Viac informácií:

• CVE-2024-45713 na cve.org, NVD
• CWE-209: Generation of Error Message Containing Sensitive Information na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 16. 10. 2024.