[TLP:CLEAR] SolarWinds opravuje 5 zranitelností
SolarWinds opravuje 5 zranitelností v produktech Serv-U a Observability Self-Hosted. Nejzávažnější z nich jsou popsány níže, zbylé naleznete v jednotlivých odkazech. Produkty a jejich opravené verze: SolarWinds Serv-U - 15.5.3 [1][2][3] SolarWinds Observability Self-Hosted - 2025.4 SR1 [4][5]
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je kvůli logické chybě v Serv-U umožněno neoprávněně spustit kód. Na platformě Windows je riziko hodnoceno jako střední, protože služba standardně administrátorská oprávnění nevyužívá [1].
Zranitelnost se nachází v produktu SolarWinds Serv-U ve verzích ==15.5.2.2.102.
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40547 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-116: Improper Encoding or Escaping of Output at cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 11. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je kvůli nedostatečné validaci na Serv-U umožněno neoprávněně spustit kód. Na platformě Windows je riziko hodnoceno jako střední, protože služba standardně administrátorská oprávnění nevyužívá [2].
Zranitelnost se nachází v produktu SolarWinds Serv-U ve verzích ==15.5.2.2.102.
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40548 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-269: Improper Privilege Management at cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 11. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je na Serv-U umožněno obejít omezení cesty a neoprávněně spustit kód v jiném adresáři. Na platformě Windows je riziko hodnoceno pouze jako střední díky rozdílům ve zpracování cest a domovských adresářů [3].
Zranitelnost se nachází v produktu SolarWinds Serv-U ve verzích ==15.5.2.2.102.
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-40549 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 11. 2025.
Autentizovanému útočníkovi v přilehlé síti je skrze Observability Self-Hosted umožněno vykonat útok XSS [4].
Zranitelnost se nachází v produktu SolarWinds Observability Self-Hosted ve verzích <=2025.4.
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Více informací:
- CVE-2025-26391 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 18. 11. 2025.
Odkazy
- [1] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40547
- [2] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40548
- [3] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40549
- [4] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-26391
- [5] https://www.solarwinds.com/trust-center/security-advisories/cve-2025-40545
Za CESNET-CERTS Michaela Ručková dne 25. 11. 2025.
