A SolarWinds öt távoli kódfuttatási hibát javított az ARM megoldásában, köztük három kritikus súlyosságú sebezhetőséget, amelyek hitelesítés nélküli kihasználást tesznek lehetővé.
Az Access Rights Manager lehetővé teszi a vállalatok számára a hozzáférési jogok kezelését és ellenőrzését az IT infrastruktúrájukban.
A CVE-2024-23476 és a CVE-2024-23479 a hozzáférési útvonal gyengeségeknek köszönhető, míg a CVE-2023-40057 néven nyomon követett harmadik kritikus hibát a nem megbízható adatok deszerializációja okozza.
A nem hitelesített támadók mindhármat kihasználhatják, hogy kódfuttatáshoz jussanak a javítatlanul hagyott rendszereken.
A másik két hiba (CVE-2024-23477 és CVE-2024-23478) szintén felhasználható RCE támadásokban, és a SolarWinds magas súlyosságú problémaként értékelte őket.
A SolarWinds a hibákat az Access Rights Manager 2023.2.3 verziójában foltozta be, további hiba- és biztonsági javításokkal együtt.
A vállalat egyelőre nem kapott jelzéseket a sebezhetőségek aktív kihasználásáról.
| CVE-ID | Sebezhetőség leírása | Súlyosság |
| CVE-2023-40057 | SolarWinds ARM nem megbízható adatok deszerializációja RCE | 9.0 Kritikus |
| CVE-2024-23476 | SolarWinds ARM hozzáférési útvonal RCE | 9.6 Kritikus |
| CVE-2024-23477 | SolarWinds ARM hozzáférési útvonal RCE | 7.9 Magas |
| CVE-2024-23478 | SolarWinds ARM nem megbízható adatok deszerializációja RCE | 8.0 Magas |
| CVE-2024-23479 | SolarWinds ARM hozzáférési útvonal RCE | 9.6 Kritikus |
A SolarWinds 2023 októberében három másik kritikus Access Rights Manager RCE hibát is javított, amelyek lehetővé tették a támadók számára, hogy kódot futtassanak SYSTEM jogosultságokkal.
