Aktywnie wykorzystywana w atakach
SolarWinds Serv-U Improper Input Validation Vulnerability
SolarWinds - Serv-U · Figuruje w katalogu CISA KEV od 2022-01-21. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-35247
ŚrednieCVSS 4.3KEVStreszczenie
Ekran logowania web Serv-U do uwierzytelniania LDAP zezwalał na znaki, które nie były wystarczająco oczyszczane. SolarWinds zaktualizował mechanizm wejściowy, aby wykonywać dodatkową walidację i sanityzację.
Ocena ryzyka
Nieodpowiednia walidacja danych wejściowych mogła potencjalnie prowadzić do problemów z bezpieczeństwem, choć nie wykryto negatywnych skutków, ponieważ serwery LDAP ignorowały nieprawidłowe znaki.
Rekomendacja
Zaplanuj aktualizację do najnowszej wersji Serv-U, aby zapewnić prawidłową walidację danych wejściowych we wszystkich środowiskach.
Inne podatności w Serv-U
Zobacz wszystkie- CVE-2025-40549Krytyczne
Serv-U zawiera podatność na obejście ograniczeń ścieżek, która po wykorzystaniu może umożliwić osobie atakującej z uprawnieniami administratora wykonanie kodu w katalogu. Wymaga to uprawnień administracyjnych. W systemach Windows ryzyko oceniono jako średnie ze względu na różnice w obsłudze ścieżek i katalogów domowych.
- CVE-2025-40548Krytyczne
Serv-U zawiera podatność związaną z brakiem procesu walidacji, która po wykorzystaniu może umożliwić osobie atakującej z uprawnieniami administratora wykonanie kodu. Wymaga to uprawnień administracyjnych. W systemach Windows ryzyko oceniono jako średnie, ponieważ usługi często działają na kontach o niższych uprawnieniach.
- CVE-2025-40547Krytyczne
Serv-U zawiera podatność związaną z błędem logicznym, która po wykorzystaniu może umożliwić osobie atakującej z uprawnieniami administratora wykonanie kodu. Wymaga to uprawnień administracyjnych. W systemach Windows ryzyko oceniono jako średnie, ponieważ usługi często działają na kontach o niższych uprawnieniach.
- CVE-2023-35179Wysokie
Zidentyfikowano podatność w Serv-U 15.4, która umożliwia ominięcie uwierzytelniania wieloskładnikowego/dwuskładnikowego. Aby to zrobić, atakujący musi mieć dostęp na poziomie administratora do Serv-U.
Oryginalny opis (angielski, źródło NVD)
Serv-U web login screen to LDAP authentication was allowing characters that were not sufficiently sanitized. SolarWinds has updated the input mechanism to perform additional validation and sanitization. Please Note: No downstream affect has been detected as the LDAP servers ignored improper characters. To insure proper input validation is completed in all environments. SolarWinds recommends scheduling an update to the latest version of Serv-U.