行业新闻

注意更新 | SolarWinds Serv-U 权限控制不当漏洞

注意更新 | SolarWinds Serv-U 权限控制不当漏洞

0x01

漏洞状态

漏洞细节

漏洞POC

漏洞EXP

在野利用

未知

未知

未知

未知

0x02

漏洞描述

SolarWinds Serv-U 是美国SolarWinds公司的一套FTP和MFT文件传输软件。

2022年5月18日,360漏洞云团队监测到SolarWinds发布安全公告,修复了一个Serv-U 中存在权限控制不当漏洞。漏洞编号:CVE-2021-35249,漏洞威胁等级:中危,漏洞评分:4.3。

SolarWinds Serv-U 权限控制不当漏洞

SolarWinds Serv-U 权限控制不当漏洞

漏洞编号

CVE-2021-35249

漏洞类型

权限控制不当

漏洞等级

中危

公开状态

未知

在野利用

未知

漏洞描述

该漏洞在于对域管理员的权限控制不当,域管理员可越权读取其他域中的配置和用户数据(但无法修改其他域中的数据)。并且当前域管理员对其他域数据的读取操作的日志只会记录在当前域中,不会记录在其他域的日志中,只有在管理员尝试修改其他域中的数据,操作才会被记录在其他域日志中。

0x03

漏洞等级

中危

0x04

影响版本

SolarWinds Serv-U <= 15.3

0x05

修复建议

厂商已在 15.3.1 版本修复上述漏洞,用户请尽快更新至安全版本。

参考链接:

https://documentation.solarwinds.com/en/success_center/servu/content/release_notes/servu_15-3-1_release_notes.htm

与此同时,请做好资产自查以及预防工作,以免遭受黑客攻击。

关闭