Kritieke lekken geven aanvallers rootcontrole over servers met SolarWinds Serv-U

Aanvallers kunnen dankzij vier kritieke kwetsbaarheden in FTP-serversoftware van SolarWinds rootrechten krijgen op Windows- en Linux-systemen. De kwetsbaarheden krijgen alle vier een CVSS-score van 9,1 op een schaal van 10. De softwareleverancier biedt patches aan.

Het gaat om FTP-server Serv-U en de MFT-variant (Managed File Transfer) daarvan. Die variant dient voor automatische bestandsoverdracht tussen personen en systemen, binnen en buiten organisaties. Aanvallers kunnen de nu geopenbaarde kwetsbaarheden gebruiken om een beheerdersaccount aan te maken en eigen code uit te voeren met rootrechten.

Voor succesvol misbruik hebben aanvallers al hogere rechten nodig, meldt BleepingComputer. Ondanks die beperkende factor zijn de kwetsbaarheden gecategoriseerd als kritiek. SolarWinds geeft bij alle vier een score van 9,1 aan op de CVSS-schaal die tot 10 loopt.

SolarWinds repareert deze vier kwetsbaarheden in versie 15.5.4 van Serv-U. Alle voorgaande versies zijn kwetsbaar. Dit omvat ook oudere versies die de leverancier niet meer ondersteunt, zoals versie 15.5.1 waarvoor op 18 november het einde is aangekondigd en die sinds 18 februari geen updates meer krijgt. SolarWinds verwijst ook naar algemeen advies om zijn producten te beveiligen.

Bron: SolarWinds

Reacties (5)

[Henk323]

Dit zijn geen simpele FTP-bugs maar echte privilege-escalatie issues in de Serv-U codebase. Met name de broken access control in de admin-interface waardoor je een system-admin account kunt injecteren is behoorlijk kwalijk, omdat je daarmee direct richting root/system RCE gaat. Dat exploitatie admin-rechten vereist stelt in de praktijk weinig gerust: in veel omgevingen draait Serv-U al met hoge privileges en admin creds zijn vaak via phishing of reuse te krijgen. Updaten naar 15.5.4 is dus echt geen “nice to have”, en het beperken van exposure van de management interface lijkt me minstens zo belangrijk.

[gamezfreak]

Software patchen (of het nou CVE's zijn of gewoon bug fixes) is belangrijk, alleen niet iedereen wil zijn handen eraan branden dat er daarna iets omvalt. Ook overstappen naar een ander pakket is vaak moeizaam. De enige keren dat ik met Solarwinds producten in aanraking ben gekomen is met hun syslog server en CatTools die ik gebruikte om back-ups te maken voor netwerkapparatuur.

Je zou haast nog een afdeling voor je bedrijd willen hebben die alleen software patches doorvoort. Er hoeft maar 1 ingang te zijn en je kan alle kanten op, mits de privileges niet zijn gewijzigd. Alhoewel tegenwoordig wel de extra stap is om zulke services met een service account te laten runnen die alleen op die machine mag inloggen en niet op andere machines.

[Raoul.TLS]

SolarWinds is in april 2025 overgenomen door de private-equityfirma Turn/River Capital voor een totaalbedrag van $4,4 miljard.

Alles is duurder geworden nou ben bang dat ze broadcom achterna gaan.

[Deem]

We gebruiken binnen ons bedrijf SolarWinds Serv U als FTP server. Normaal ontvingen we ieder jaar automatisch een voorstel voor verlenging van de support. Dit jaar bleef dat onverwacht uit, dus heb ik zelf contact opgenomen.

Daaruit bleek dat het product inmiddels is omgezet naar een SaaS model, met een prijsverhoging van ongeveer een factor vier. Over een periode van drie jaar zouden we daarmee meer betalen dan we in de afgelopen tien jaar in totaal aan SolarWinds hebben uitgegeven.

Dat was voor ons onacceptabel. Na stevige onderhandelingen hebben we uiteindelijk kunnen afspreken dat we voor de komende drie jaar mogen verlengen tegen het oude tarief.

Desondanks hebben we besloten om na deze periode afscheid te nemen van SolarWinds.

[Stijnvi]

Oprechte vraag als leek aan de experts:
Dit is niet de eerste keer dat ik lees dat het goed misgaat bij SolarWinds. Is er gewoon iets flink mis bij dit bedrijf, of krijgt het simpelweg veel aandacht (van de media, hackers, en onderzoekers) omdat het veel gebruikt wordt?

Eerdere berichtgeving:

• nieuws: Overheid VS schrapt zaak tegen SolarWinds over verstrekkende hackaanval / nieuws: 'SolarWinds-hack was ruim half jaar eerder bekend bij Amerikaans ministerie'
• nieuws: VS meldt actief misbruik van kritieke SolarWinds-kwetsbaarheid / nieuws: SolarWinds repareert bug waarbij hardcoded credentials in broncode stonden