Kilka podatności w poniedziałek: TikTok z zero-dayem, luka w zabezpieczeniach Azura i łatanie podatności SolarWinds (w tym zgłoszonych przez pentestera z NATO)

Azure

Tenable ostrzega przed luką w zabezpieczeniach platformy Azure, wpływającą na użytkowników korzystających z tagów usług Azure w przypadku reguł zapory sieciowej. Usługi platformy umożliwiają użytkownikom tworzenie żądań internetowych i kontrolowanie żądań po stronie serwera. Zidentyfikowany problem umożliwia atakującym kontrolowanie żądań i podszywanie się pod usługi platformy Azure, omijając kontrole sieci korzystające z tagów usług i uzyskując dostęp do wewnętrznych interfejsów API.

SolarWinds

O naszym ulubionym producencie napiszemy trochę więcej. W zeszłym tygodniu SolarWinds wydał łatki dla wielu luk o wysokim poziomie ważności, w tym poprawił błąd zgłoszony przez testera penetracyjnego współpracującego z NATO. Warto podkreślić, że najnowsza wersja platformy SolarWinds, nosząca numer 2024.2, zawiera poprawki trzech nowych usterek bezpieczeństwa, a także wielu błędów w komponentach innych firm.

Pierwszy problem, oznaczony jako CVE-2024-28996 i zgłoszony przez pentestera Agencji Komunikacji i Informacji NATO Nilsa Putninsa, jest opisywany jako błąd polegający na wstrzykiwaniu SWQL. Zastrzeżony podzbiór języka SQL jest przeznaczony tylko do odczytu. SWQL umożliwia użytkownikom wysyłanie zapytań do bazy danych SolarWinds w celu uzyskania informacji o sieci.

Firma ogłosiła także poprawki dla dwóch usterek zabezpieczeń wpływających na konsolę internetową swojej platformy, a mianowicie CVE-2024-28999, luki w zabezpieczeniach związanej z warunkami wyścigu oraz CVE-2024-29004, luki w przechowywaniu skryptów między witrynami (XSS), wymagającej wysokich uprawnień i interakcji użytkownika w celu pomyślnego wykorzystania.

Według dostawcy luki dotyczą platformy SolarWinds 2024.1 SR 1 i jej poprzednich wersji. Użytkownikom zaleca się jak najszybszą aktualizację do wersji 2024.2.

Aktualizacja platformy SolarWinds zawiera także poprawki średnio istotnej luki w Angularze oraz dziesięciu problemów o dużej i średniej ważności w OpenSSL, z których część została ujawniona siedem lat temu. Większość z nich można wykorzystać do wywołania stanu odmowy usługi (DoS).

W tym tygodniu firma SolarWinds udostępniła także poprawkę dotyczącą CVE-2024-28995 – luki w zabezpieczeniach katalogów o wysokim stopniu ważności w Serv-U, mogącej umożliwiać atakującym odczytanie poufnych plików na komputerze hosta.