Kritieke lekken geven aanvallers rootcontrole over servers met SolarWinds Serv-U

Aanvallers kunnen dankzij vier kritieke kwetsbaarheden in FTP-serversoftware van SolarWinds rootrechten krijgen op Windows- en Linux-systemen. De kwetsbaarheden krijgen alle vier een CVSS-score van 9,1 op een schaal van 10. De softwareleverancier biedt patches aan.

Het gaat om FTP-server Serv-U en de MFT-variant (Managed File Transfer) daarvan. Die variant dient voor automatische bestandsoverdracht tussen personen en systemen, binnen en buiten organisaties. Aanvallers kunnen de nu geopenbaarde kwetsbaarheden gebruiken om een beheerdersaccount aan te maken en eigen code uit te voeren met rootrechten.

Voor succesvol misbruik hebben aanvallers al hogere rechten nodig, meldt BleepingComputer. Ondanks die beperkende factor zijn de kwetsbaarheden gecategoriseerd als kritiek. SolarWinds geeft bij alle vier een score van 9,1 aan op de CVSS-schaal die tot 10 loopt.

SolarWinds repareert deze vier kwetsbaarheden in versie 15.5.4 van Serv-U. Alle voorgaande versies zijn kwetsbaar. Dit omvat ook oudere versies die de leverancier niet meer ondersteunt, zoals versie 15.5.1 waarvoor op 18 november het einde is aangekondigd en die sinds 18 februari geen updates meer krijgt. SolarWinds verwijst ook naar algemeen advies om zijn producten te beveiligen.

Bron: SolarWinds

Reacties (15)

[Raoul.TLS]

SolarWinds is in april 2025 overgenomen door de private-equityfirma Turn/River Capital voor een totaalbedrag van $4,4 miljard.

Alles is duurder geworden nou ben bang dat ze broadcom achterna gaan.

[Deem]

We gebruiken binnen ons bedrijf SolarWinds Serv U als FTP server. Normaal ontvingen we ieder jaar automatisch een voorstel voor verlenging van de support. Dit jaar bleef dat onverwacht uit, dus heb ik zelf contact opgenomen.

Daaruit bleek dat het product inmiddels is omgezet naar een SaaS model, met een prijsverhoging van ongeveer een factor vier (!). Over een periode van drie jaar zouden we daarmee meer betalen dan we in de afgelopen tien jaar in totaal aan SolarWinds hebben uitgegeven.

Dat was voor ons onacceptabel. Als zij dat standpunt hadden volgehouden, hadden ze van ons nul euro ontvangen en waren ze ons definitief als klant kwijtgeraakt. Na stevige onderhandelingen hebben we uiteindelijk kunnen afspreken dat we voor de komende drie jaar mogen verlengen tegen het oude tarief.

Desondanks hebben we besloten om na deze periode afscheid te nemen van SolarWinds.

[Reactie gewijzigd door Deem op 25 februari 2026 17:21]

[Marve79]

Waarom zou je daar voor betalen? En wie gebruikt dat nog ipv SSH? Er zijn zat gratis alternatieven.

[Deem]

We gebruiken Serv U vooral vanwege de enterprise functionaliteit, stabiliteit en de beschikbare support. De Serv U gateway fungeert als een gecontroleerd toegangspunt tussen externe clients en de interne Serv U servers. Daardoor kunnen we veilige, schaalbare en beheersbare toegang bieden zonder onze backend infrastructuur direct aan internet bloot te stellen.

Daarnaast waarderen we de functionaliteit voor ad hoc bestandsuitwisseling, vergelijkbaar met WeTransfer. Voor een omroeporganisatie zoals de onze is FTP nog altijd een cruciale schakel in de uitwisseling van mediabestanden. Aan die bestandsstromen hangen veel geautomatiseerde processen, waardoor betrouwbaarheid en voorspelbaarheid essentieel zijn en daarvoor wordt heel veel FTP gebruikt.

[PierreG]

goeie tip!!! Heel wat serv-u nodes draaien bij m'n werkgever en we hadden het nieuwe licentie beleid nog niet opgepikt. Ons IT procurement team een heads up gegeven dat dit er aan komt en om eens te kijken voor een vergelijkbare deal.

[Deem]

Blijf bij je standpunt. Vraag hen om concreet toe te lichten waarom de software ineens vier keer zo duur is geworden. Waarschijnlijk voeren ze aan dat de support is verbeterd en dat de prijs nu beter aansluit bij de waarde van het product. Dat argument houdt echter weinig stand. Wanneer software stabiel en betrouwbaar is, maak je nauwelijks gebruik van support. Serv U is de afgelopen periode nauwelijks doorontwikkeld, wat wat mij betreft ook niet nodig is. Het product doet voor ons alles wat het moet doen.

Daarnaast heb ik zelf het initiatief moeten nemen voor de verlenging, in plaats van dat ik proactief ben benaderd. Dat wijst niet op een verbetering van de dienstverlening, maar eerder op een verslechtering.

Voor de IT afdeling is het stoppen met Serv U een lastige keuze, maar met deze prijsontwikkeling wordt het richting management juist eenvoudig te onderbouwen. Er zijn alternatieven beschikbaar tegen lagere kosten. Op het moment dat je die concreet benoemt, blijkt er ineens wel 75 procent korting mogelijk te zijn. Dat zegt voldoende over de oorspronkelijke prijsstelling.

[Reactie gewijzigd door Deem op 26 februari 2026 11:54]

[Mr.Monk]

Serv-u was altijd prima betaalbaar, maar de licentie kosten gingen ineens x6. Vriendelijk gepast en een andere oplossing gekozen.


Maar tis net als bij broadcom(en vele anderen) snel cashen om de investering terug te krijgen.

[Henk323]

Dit zijn geen simpele FTP-bugs maar echte privilege-escalatie issues in de Serv-U codebase. Met name de broken access control in de admin-interface waardoor je een system-admin account kunt injecteren is behoorlijk kwalijk, omdat je daarmee direct richting root/system RCE gaat. Dat exploitatie admin-rechten vereist stelt in de praktijk weinig gerust: in veel omgevingen draait Serv-U al met hoge privileges en admin creds zijn vaak via phishing of reuse te krijgen. Updaten naar 15.5.4 is dus echt geen “nice to have”, en het beperken van exposure van de management interface lijkt me minstens zo belangrijk.

[gamezfreak]

Software patchen (of het nou CVE's zijn of gewoon bug fixes) is belangrijk, alleen niet iedereen wil zijn handen eraan branden dat er daarna iets omvalt. Ook overstappen naar een ander pakket is vaak moeizaam. De enige keren dat ik met Solarwinds producten in aanraking ben gekomen is met hun syslog server en CatTools die ik gebruikte om back-ups te maken voor netwerkapparatuur.

Je zou haast nog een afdeling voor je bedrijd willen hebben die alleen software patches doorvoort. Er hoeft maar 1 ingang te zijn en je kan alle kanten op, mits de privileges niet zijn gewijzigd. Alhoewel tegenwoordig wel de extra stap is om zulke services met een service account te laten runnen die alleen op die machine mag inloggen en niet op andere machines.

[NickChange]

Is dat niet de bedoeling van een system admin, of outsourcing?

[Raymond Deen]

Kon me ook al moeilijk voorstellen dat de fouten in het implementeren van het ftp protocol zouden zitten; dat is tenslotte toch al wel uitontwikkeld zou je denken.

Even zoeken op de naam in de frontpage heeft nog wel meer tenenkrommende berichten. En dat voor een bedrijf met hun klanten. Volgens Wikipedia zijn bijna alle fortune 500 bedrijven klant van ze!

[Stijnvi]

Oprechte vraag als leek aan de experts:
Dit is niet de eerste keer dat ik lees dat het goed misgaat bij SolarWinds. Is er gewoon iets flink mis bij dit bedrijf, of krijgt het simpelweg veel aandacht (van de media, hackers, en onderzoekers) omdat het veel gebruikt wordt?

Eerdere berichtgeving:

• nieuws: Overheid VS schrapt zaak tegen SolarWinds over verstrekkende hackaanval / nieuws: 'SolarWinds-hack was ruim half jaar eerder bekend bij Amerikaans ministerie'
• nieuws: VS meldt actief misbruik van kritieke SolarWinds-kwetsbaarheid / nieuws: SolarWinds repareert bug waarbij hardcoded credentials in broncode stonden

[Marve79]

Serv-U, lang geleden dat ik dat heb gehoord. Wij gebruikten dat vroeger massaal op 'pubstros', in de tijd van FXP.

Dat men dat nog gebruikt.

Ik ken wel meer rommel van solarwinds dat is allemaal zo lek als een mandje. Net als bijv dameware.

[cricque]

Ja dacht hetzelfde, dat is iets van begin jaren 2000 ... glftpd was toch een pak beter

[DaggerGun]

Het lek is serieus, maar de impact hangt sterk af van hoe je zo’n service in je netwerk positioneert.