SolarWinds Web Help Desk: Kritische RCE-Schwachstelle aktiv ausgenutzt, CISA verlangt sofortiges Patchen

Kritische SolarWinds-Schwachstelle wird aktiv ausgenutzt, CISA warnt

Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat eine kritische Schwachstelle zur Remote-Code-Ausführung (RCE) in SolarWinds Web Help Desk in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Damit bestätigt die Behörde die aktive Ausnutzung der Lücke in der Praxis. Bundesbehörden wurden angewiesen, ihre Systeme bis zum 5. September 2024 im Rahmen der Binding Operational Directive (BOD) 22-01 zu patchen.

Technische Details

Die Schwachstelle mit der Bezeichnung CVE-2024-28986 ist eine Authentifizierungsumgehungslücke in SolarWinds Web Help Desk Versionen 12.8.3 HF 1 und früher. Bei erfolgreicher Ausnutzung können Angreifer beliebigen Code mit erhöhten Berechtigungen auf ungepatchten Systemen ausführen. SolarWinds veröffentlichte am 13. August 2024 einen Sicherheitshinweis und forderte alle Kunden auf, den verfügbaren Hotfix unverzüglich anzuwenden.

Obwohl sich die CISA-Anweisung nur an Bundesbehörden richtet, warnen Sicherheitsexperten davor, dass alle Organisationen, die verwundbare SolarWinds Web Help Desk-Instanzen nutzen, das Patchen aufgrund der kritischen Schwere der Lücke (CVSS-Score steht noch aus) priorisieren sollten.

Risikoanalyse

Die aktive Ausnutzung von CVE-2024-28986 birgt erhebliche Risiken, darunter:

• Unautorisierten Systemzugriff mit administrativen Berechtigungen
• Datenexfiltration oder Manipulation von Helpdesk-Operationen
• Laterale Bewegung innerhalb kompromittierter Netzwerke
• Potenzial für Lieferkettenangriffe, da SolarWinds aufgrund seiner Historie (z. B. der Sunburst-Angriff 2020) ein hochwertiges Ziel darstellt

Empfehlungen

1. Sofortiges Patchen: Wenden Sie den SolarWinds-Hotfix für Web Help Desk 12.8.3 HF 2 an oder aktualisieren Sie auf eine gepatchte Version ohne Verzögerung.
2. Netzwerksegmentierung: Isolieren Sie Web Help Desk-Server von kritischer Infrastruktur, bis die Behebung abgeschlossen ist.
3. Überwachung auf Indikatoren für Kompromittierung (IOCs): Überprüfen Sie Protokolle auf ungewöhnliche Authentifizierungsversuche oder unautorisierten Zugriff.
4. Drittanbieter-Risikobewertung: Prüfen Sie Zulieferer oder Partner mit Zugriff auf SolarWinds-Systeme auf mögliche Exposition.

Die Aufnahme von CVE-2024-28986 in den KEV-Katalog der CISA unterstreicht die Dringlichkeit, diese Schwachstelle zu beheben – insbesondere für Organisationen, die sensible Daten oder kritische Infrastruktur verwalten. Weitere Details finden Sie im offiziellen Sicherheitshinweis von SolarWinds.