【缝隙公告】CVE-2020-10148 SolarWinds Orion RCE缝隙
颁布功夫 2020-12-280x00 缝隙概述
CVE ID | CVE-2020-10148 | 时 间 | 2020-12-28 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 |
0x01 缝隙详情
SolarWinds Orion Platform是基础设施和系统治理产品套件。SolarWinds Orion API被嵌入到Orion内核中，用于与所有SolarWinds Orion平台产品进行衔接。
近日，SolarWinds Orion API中被披露存在一个远程代码执行缝隙（CVE-2020-10148）。该缝隙是由于SolarWinds Orion API身份验证可能被绕过，攻击者能够通过在Request.PathInfo URI要求中使用特定参数来利用此缝隙，最终攻击者能够远程执行未经身份验证的API号令。尤其是当攻击者附加一个PathInfo函数的参数为WebResource.adx、ScriptResource.adx、i18n.ashx、或Skipi18n的要求给SolarWinds Orion服务器时，SolarWinds能够设置SkipAuthorization flag，这样能够在不必要身份验证的情况下处置API要求。
0x02 措置建议
目前，SolarWinds已经颁布了此缝隙的安全更新，建议将SolarWinds Orion更新至如下版本：
2019.4 HF 6（2020年12月14日颁布）
2020.2.1 HF 2（2020年12月15日颁布）
2019.2 SUPERNOVA补�。�2020年12月23日颁布）
2018.4 SUPERNOVA补�。�2020年12月23日颁布）
2018.2 SUPERNOVA补�。�2020年12月23日颁布）
下载链接：
https://www.solarwinds.com/securityadvisory
0x03 参考链接
https://kb.cert.org/vuls/id/843464
https://github.com/solarwinds/OrionSDK/wiki
https://cyber.dhs.gov/ed/21-01/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-10148
0x04 功夫线
2020-12-26 CERT/CC披露缝隙
2020-12-27 CERT/CC更新缝隙
2020-12-28 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号