[TLP:CLEAR] SolarWinds Serv-U opravuje 4 kritické zranitelnosti
SolarWinds verzí 15.5.4 opravuje 4 kritické zranitelnosti v produktu Serv-U [1][2][3][4].
Autentizovanému vzdálenému útočníkovi je kvůli chybě zabezpečení v oblasti řízení přístupu umožněno vytvořit uživatele se systémovými oprávněními a následně s využitím oprávnění správce domény nebo správce skupiny spustit libovolný kód s právy root [1].
Zranitelnost se nachází v produktu:
- Serv-U; >=15.5, <15.5.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40538 na cve.org, NVD
- CWE-269: Improper Privilege Management na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 2. 2026.
Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je kvůli zranitelnosti typu type confusion umožněno spustit libovolný nativní kód jako root [2][3].
Zranitelnost se nachází v produktu:
- Serv-U; >=15.5, <15.5.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40539 na cve.org, NVD
- CVE-2025-40540 na cve.org, NVD
- CWE-704: Incorrect Type Conversion or Cast na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 2. 2026.
Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je kvůli zranitelnosti typu IDOR (Insecure Direct Object Reference) umožněno spustit nativní kód jako root [4].
Zranitelnost se nachází v produktu:
- Serv-U; >=15.5, <15.5.4
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40541 na cve.org, NVD
- CWE-704: Incorrect Type Conversion or Cast na cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 2. 2026.
Odkazy
- [1] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40538
- [2] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40539
- [3] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40540
- [4] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40541
Za CESNET, z.s.p.o. Michaela Jarošová dne 26. 2. 2026.