Solarwinds a publié une mise à jour de sécurité majeure pour corriger au moins quatre vulnérabilités de sécurité documentées, y compris une paire de bogues qui sont exploités pour des attaques d’exécution de code à distance.

Les correctifs ont été déplacés jeudi dans le cadre d’une transformation mineure de la sécurité de la plate-forme Orion, le même produit Solarwinds compromis qui a été exploité lors de récentes attaques contre la chaîne d’approvisionnement logicielle des États-nations.

La dernière plate-forme Orion 2020.2.5 corrige au moins quatre failles de sécurité, dont une jugée «critique» en raison du risque d’attaques d’exécution de code à distance. La société n’a pas publié les détails techniques de la vulnérabilité, qui n’a pas encore attribué de CVE.

Solarwinds a décrit cette faille simplement comme «RCE via actions et désérialisation JSON». La société a averti que le bogue critique avait été trouvé via les actions d’alerte de test et a noté qu’un utilisateur authentifié Orion est nécessaire pour lancer avec succès un exploit.

Un deuxième bogue, classé «à haut risque», entraîne également un risque d’exécution de code à distance, a averti Solarwinds. «La vulnérabilité peut être utilisée pour obtenir un RCE authentifié en tant qu’administrateur. Pour exploiter cela, un attaquant doit d’abord connaître les informations d’identification d’un compte local non privilégié sur le serveur Orion. »

La mise à jour inclut également des correctifs pour une vulnérabilité XSS stockée «à haut risque» et un problème de gravité moyenne qui pourrait conduire à des attaques de tabnabbing inversé et de redirection ouverte.

En rapport: SolarWinds affirme que 18000 clients pourraient avoir utilisé un produit Orion compromis

Ryan Naraine est rédacteur en chef à SecurityWeek et animateur de la populaire série de podcasts Security Conversations. Ryan est journaliste et stratège en cybersécurité avec plus de 20 ans d’expérience dans le domaine de la sécurité informatique et des tendances technologiques. Il est un conférencier régulier lors de conférences sur la cybersécurité à travers le monde.
Ryan a développé des programmes d’engagement de sécurité dans de grandes marques mondiales, dont Intel …