SolarWinds, la société basée au Texas qui est devenue l’épicentre d’une attaque massive de la chaîne d’approvisionnement à la fin de l’année dernière, a publié des correctifs pour contenir une faille d’exécution de code à distance dans son produit Serv-U.
Les correctifs, qui ciblent les produits Serv-U Managed File Transfer et Serv-U Secure FTP, arrivent après que Microsoft a informé le fabricant de logiciels de gestion informatique et de surveillance à distance que la faille était exploitée à l’état sauvage. L’acteur de la menace derrière l’exploitation reste encore inconnu, et on ne sait pas exactement comment l’attaque a été menée.
« Microsoft a fourni des preuves d’un impact client limité et ciblé, bien que SolarWinds n’ait pas actuellement d’estimation du nombre de clients pouvant être directement affectés par la vulnérabilité », SolarWinds mentionné dans un avis publié vendredi, ajoutant qu’il « ignore l’identité des clients potentiellement concernés ».
Affectant Serv-U version 15.2.3 HF1 et antérieure, une exploitation réussie de la lacune (CVE-2021-35211) pourrait permettre à un adversaire d’exécuter du code arbitraire sur le système infecté, y compris la possibilité d’installer des programmes malveillants et d’afficher, de modifier ou de supprimer des données sensibles.
Comme indicateurs de compromission, la société exhorte les administrateurs à faire attention aux connexions potentiellement suspectes via SSH à partir des adresses IP 98[.]176.196.89 et 68[.]235.178.32, ou via TCP 443 depuis l’adresse IP 208[.]113.35.58. La désactivation de l’accès SSH sur l’installation Serv-U empêche également la compromission.
La question a été traitée dans Correctif Serv-U version 15.2.3 (HF) 2.
SolarWinds a également souligné dans son avis que la vulnérabilité est « totalement sans rapport avec l’attaque de la chaîne d’approvisionnement SUNBURST » et qu’elle n’affecte pas d’autres produits, notamment la plate-forme Orion, qui a été exploitée pour larguer des logiciels malveillants et creuser plus profondément dans les réseaux ciblés par des suspects russes. pirates informatiques pour espionner plusieurs agences fédérales et entreprises dans l’une des violations de sécurité les plus graves de l’histoire des États-Unis.
Une série d’attaques de la chaîne d’approvisionnement logicielle depuis lors a mis en évidence la fragilité des réseaux modernes et la sophistication des acteurs de la menace pour identifier les vulnérabilités difficiles à trouver dans les logiciels largement utilisés pour mener l’espionnage et supprimer les ransomwares, dans lesquels les pirates informatiques arrêtent les systèmes de entreprise et exiger un paiement pour leur permettre de reprendre le contrôle.
