SolarWinds corrige un fallo en la clave codificada en el código de ARM que permitía la ejecución remota de código sin autenticación

La em­pre­sa So­lar­Winds ha pu­bli­ca­do par­ches de se­gu­ri­dad para so­lu­cio­nar una vul­ne­ra­bi­li­dad de alta gra­ve­dad en Ac­cess Rights Ma­na­ger (ARM). El fallo, ca­ta­lo­ga­do con un pun­ta­je ele­va­do de se­ve­ri­dad, per­mi­te la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción y afec­ta a todas las ver­sio­nes del pro­duc­to igua­les o an­te­rio­res a una es­pe­ci­fi­ca­da en el aviso.

De acuer­do con la in­for­ma­ción di­fun­di­da, el pro­ble­ma surge de­bi­do a una clave es­tá­ti­ca in­te­gra­da di­rec­ta­men­te en el có­di­go del soft­wa­re. El ha­llaz­go fue re­por­ta­do por un in­ves­ti­ga­dor de se­gu­ri­dad y la com­pa­ñía ya ha lan­za­do una ver­sión ac­tua­li­za­da que co­rri­ge este in­con­ve­nien­te, acla­ran­do que no exis­ten in­di­cios de que la falla haya sido uti­li­za­da en ata­ques reales.

Adi­cio­nal­men­te, la em­pre­sa ha im­ple­men­ta­do co­rrec­cio­nes para otros pro­ble­mas de­tec­ta­dos pre­via­men­te en di­fe­ren­tes he­rra­mien­tas de su ca­tá­lo­go. Esto in­clu­ye la so­lu­ción a fa­llos gra­ves en Web Help Desk que abar­ca­ban desde la omi­sión de au­ten­ti­ca­ción hasta la de­ne­ga­ción de ser­vi­cio por falta de me­mo­ria, así como múl­ti­ples vul­ne­ra­bi­li­da­des en Serv-U que po­dían fa­ci­li­tar la es­ca­la­da de pri­vi­le­gios y la ge­ne­ra­ción de cuen­tas con per­mi­sos ad­mi­nis­tra­ti­vos.