SolarWinds a corrigé une vulnérabilité Serv-U découverte par Microsoft que les acteurs de la menace utilisaient activement pour propager les attaques Log4j vers les périphériques internes d’un réseau.
Microsoft dit avoir découvert la vulnérabilité lors de sa surveillance des attaques Log4j.
Le bug est une vulnérabilité de validation d’entrée découverte par un chercheur en sécurité de Microsoft Jonathan Bar Ou qui permet à un attaquant de créer une requête et de l’envoyer non nettoyée sur le réseau.
« Au cours de notre surveillance soutenue des menaces tirant parti des vulnérabilités Log4j 2, nous avons observé une activité liée à la propagation d’attaques via une vulnérabilité jusque-là non divulguée dans le logiciel SolarWinds Serv-U », explique Microsoft dans une mise à jour de leur Avis Log4J.
« Nous avons découvert que la vulnérabilité, désormais identifiée comme CVE-2021-35247, est une vulnérabilité de validation d’entrée qui pourrait permettre aux attaquants de créer une requête avec une entrée et d’envoyer cette requête sur le réseau sans assainissement. »
Hier, SolarWinds a publié un avis pour CVE-2021-35247 et a publié Serv-U 15.3 pour corriger la vulnérabilité.
« L’écran de connexion Web Serv-U à l’authentification LDAP autorisait les caractères qui n’étaient pas suffisamment filtrés », lit SolarWinds consultatif.
« SolarWinds a mis à jour le mécanisme d’entrée pour effectuer une validation et une désinfection supplémentaires. »
Cependant, SolarWinds déclare qu’aucun effet en aval n’a été détecté « car les serveurs LDAP ont ignoré les caractères incorrects », contredisant le rapport de Microsoft.
À ce stade, il n’est pas clair si les acteurs de la menace ont tenté d’utiliser la vulnérabilité mais ont échoué ou si les attaques Log4j ont été propagées avec succès comme indiqué par Microsoft.
Les acteurs de la menace ont déjà abusé des vulnérabilités de Serv-U pour effectuer des attaques de ransomware Conti et d’autres attaques non divulguées.
EZpublish-france.fr a contacté Microsoft et SolarWinds avec d’autres questions, mais n’a pas eu de réponse pour le moment.