Rakhmanov通过研究基于Orion框架的其他SolarWinds产品开始了他的调查

继去年的SolarWinds骇客入侵之后，Trustwave的SpiderLabs的一位安全研究员决定进一步研究该公司的软件，以查看他是否还能发现任何其他漏洞。Trustwave的安全研究经理Martin Rakhmanov在新博客中透露，他在SolarWinds的两种产品中发现了三个严重的错误。幸运的是，在最近的SolarWinds攻击或任何野外攻击中都没有利用这些漏洞，但是可以利用三个新发现的漏洞之一来实现具有高特权的远程代码执行。

Rakhmanov通过研究基于Orion框架的其他SolarWinds产品开始了他的调查。他安装了该公司的用户设备跟踪器软件，并被提示设置Microsoft Message Queue(MSMQ)，该消息已经存在了二十多年，并且在现代Windows系统上默认不再安装。在查看了庞大的专用队列列表之后，Rakhmanov发现这些队列未经身份验证，这意味着未经身份验证的用户可以通过TCP端口1801向他们发送消息。

从这里，他检查了SolarWinds如何确保其后端数据库的凭据安全。那时Rakhmanov发现他可以使用现成的软件解密存储在公司数据库中的密码。使用这些密码，某人可以窃取信息，甚至可以在SolarWinds Orion产品中添加新的管理员级别用户。

为了完成调查，Rakhmanov查看了另一款称为Windows的Serv-U FTP的SolarWinds产品，以发现该软件将帐户存储在磁盘上的单独文件中。

由于该软件中的目录访问控制列表允许任何经过身份验证的Windows用户完全破坏，因此任何人都可以本地登录或通过远程桌面登录并删除一个定义新用户的文件，Ser-U FTP会自动选择它。由于可以通过这种方式创建新用户，因此这些帐户可以升级为管理员状态，以允许任何人通过FTP登录并读取或替换系统C驱动器上的任何文件，因为FTP服务器作为LocalSystem运行。

Trustwave负责地将所有这些错误报告给SolarWinds，然后公司及时发布了补丁，可直接从此处或在其站点上的帖子中下载这些补丁。

但是，由于某些用户尚未修补其系统，因此SpiderLabs将等到以后发布针对这些错误的概念验证(PoC)代码。

　　免责声明：本文由用户上传，与本网站立场无关。财经信息仅供读者参考，并不构成投资建议。投资者据此操作，风险自担。 如有侵权请联系删除！