Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] SolarWinds opravuje 2 zraniteľnosti
SolarWinds opravuje 2 zraniteľnosti v produktoch Observability Self-Hosted a Web Help Desk [1][2]. Produkty a ich opravy: SolarWinds Observability Self-Hosted - 2025.2.1 [1] SolarWinds Web Help Desk - 12.8.7 [2]
Autentizovanému lokálnemu útočníkovi s nízkymi oprávneniami je kvôli deserializácii nedôveryhodných dát umožnené eskalovať oprávnenia a spustiť škodlivé súbory z chráneného adresára [1].
Zraniteľnosť sa nachádza v produkte:
- SolarWinds Observability Self-Hosted; <=2025.2
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-26397 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 24. 7. 2025.
Autentizovanému vzdialenému útočníkovi je kvôli zraniteľnosti typu XML External Entity Injection (XXE) umožnené získať citlivé informácie. Ak má útočník prístup k miestnemu serveru a môže upraviť konfiguračné súbory, prihlásenie nie je vyžadované [2].
Zraniteľnosť sa nachádza v produkte:
- SolarWinds Web Help Desk; <=12.8.6
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-26400 na cve.org, NVD
- CWE-611: Improper Restriction of XML External Entity Reference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 7. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 5. 8. 2025.