[TLP:CLEAR] SolarWinds opravuje 5 zranitelností

SolarWinds opravuje 5 zranitelností v produktech Serv-U a Observability Self-Hosted. Nejzávažnější z nich jsou popsány níže, zbylé naleznete v jednotlivých odkazech. Produkty a jejich opravené verze: SolarWinds Serv-U - 15.5.3 [1][2][3] SolarWinds Observability Self-Hosted - 2025.4 SR1 [4][5]

SolarWinds Serv-U - RCE (CVE-2025-40547)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi s administrátorskými právy je kvůli logické chybě v Serv-U umožněno neoprávněně spustit kód. Na platformě Windows je riziko hodnoceno jako střední, protože služba standardně administrátorská oprávnění nevyužívá [1].

Zranitelnost se nachází v produktu:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 11. 2025.

SolarWinds Serv-U - RCE (CVE-2025-40548)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi s administrátorskými právy je kvůli nedostatečné validaci na Serv-U umožněno neoprávněně spustit kód. Na platformě Windows je riziko hodnoceno jako střední, protože služba standardně administrátorská oprávnění nevyužívá [2].

Zranitelnost se nachází v produktu:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 18. 11. 2025.

SolarWinds Serv-U - RCE (CVE-2025-40549)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi s administrátorskými právy je na Serv-U umožněno obejít omezení cesty a neoprávněně spustit kód v jiném adresáři. Na platformě Windows je riziko hodnoceno pouze jako střední díky rozdílům ve zpracování cest a domovských adresářů [3].

Zranitelnost se nachází v produktu:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2025-40549 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.

SolarWinds Observability Self-Hosted - XSS (CVE-2025-26391)
CVSS 5.4 (Medium)

Autentizovanému útočníkovi v přilehlé síti je v Observability Self-Hosted umožněno vykonat útok XSS [4].

Zranitelnost se nachází v produktu:

  • SolarWinds Observability Self-Hosted; <=2025.4;

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Více informací:

  • CVE-2025-26391 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 18. 11. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 24. 11. 2025.

CESNET, z.s.p.o. Logo