Ranjivosti u SolarWinds Access Rights Manageru
Dana 12. rujna 2024., tvrtka SolarWinds je objavila sigurnosne obavijesti koje se odnose na dvije kritične ranjivosti u SolarWinds Access Rights Manageru (ARM), čiji rezultati iskorištavanja su autentificirano udaljeno izvršavanje kôda (engl. remote code execution - RCE) te zaobilaženje autentifikacije.
Tehnički detalji ranjivosti nultog dana otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2024-28990 (CVSS ocjena 6.3), je ranjivost vezana za zaobilaženje autentifikacije zbog korištenja hardkodiranih (engl. hard-coded) vjerodajnica. Iskorištavanjem ranjivosti omogućava se pristup RabbitMQ konzoli za upravljanje.
- Ranjivost CVE-2024-28991 (CVSS ocjena 9.0), je ranjivost deserijalizacije nepouzdanih podataka čije iskorištavanje dovodi do udaljenog izvršavanje kôda na ranjivom poslužitelju.
Zahvaćeni proizvodi:
- SolarWinds Access Rights Manager (ARM) verzije starije od 2024.3.1 (ispravljena verzija u trenutku pisanja obavijesti).
Preporuke:
Preporučuje se žurno ažuriranje zahvaćenih ranjivih verzija na najnovije dostupne ispravljene verzije.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28990
- https://www.solarwinds.com/trust-center/security-advisories/cve-2024-28991
[inicijalna objava: 17.9.2024 - 10:56]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima