Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] SolarWinds opravuje 5 zraniteľností

SolarWinds opravuje 5 zraniteľností v produktoch Serv-U a Observability Self-Hosted. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete v jednotlivých odkazoch. Produkty a ich opravené verzie: SolarWinds Serv-U - 15.5.3 [1][2][3] SolarWinds Observability Self-Hosted - 2025.4 SR1 [4][5]

SolarWinds Serv-U - RCE (CVE-2025-40547)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je kvôli logickej chybe v Serv-U umožnené neoprávnene spustiť kód. Na platforme Windows je riziko hodnotené ako stredné, pretože služba štandardne administrátorské oprávnenia nevyužíva [1].

Zraniteľnosť sa nachádza v produkte:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

SolarWinds Serv-U - RCE (CVE-2025-40548)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je kvôli nedostatočnej validácii na Serv-U umožnené neoprávnene spustiť kód. Na platforme Windows je riziko hodnotené ako stredné, pretože služba štandardne administrátorské oprávnenia nevyužíva [2].

Zraniteľnosť sa nachádza v produkte:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

SolarWinds Serv-U - RCE (CVE-2025-40549)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je na Serv-U umožnené obísť obmedzenie cesty a neoprávnene spustiť kód v inom adresári. Na platforme Windows je riziko hodnotené iba ako stredné vďaka rozdielom v spracovaní ciest a domovských adresárov [3].

Zraniteľnosť sa nachádza v produkte:

  • SolarWinds Serv-U; ==15.5.2.2.102;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-40549 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

SolarWinds Observability Self-Hosted - XSS (CVE-2025-26391)
CVSS 5.4 (Medium)

Autentizovanému útočníkovi v priľahlej sieti je v Observability Self-Hosted umožnené vykonať útok XSS [4].

Zraniteľnosť sa nachádza v produkte:

  • SolarWinds Observability Self-Hosted; <=2025.4;

CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Viac informácií:

  • CVE-2025-26391 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 18. 11. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 24. 11. 2025.

CESNET, z.s.p.o. Logo