公開日：2020/12/28 最終更新日：2020/12/28
JVNVU#94395061
SolarWinds Orion API に認証回避の脆弱性
SolarWinds Orion API には、認証回避の脆弱性が存在します。
- 2019.4 HF 6 より前のバージョン
- 2020.2.1 HF 2 より前のバージョン
- 2019.2 SUPERNOVA Patch より前のバージョン
- 2018.4 SUPERNOVA Patch より前のバージョン
- 2018.2 SUPERNOVA Patch より前のバージョン
SolarWinds Orion Platform は、インフラストラクチャの監視および管理のためのプラットフォームです。
SolarWinds Orion Platform 製品に実装されている API 処理機能には URL パラメタの処理に問題があり、細工されたリクエスト URL を受け取ると認証をスキップして処理してしまう可能性があります。
細工されたリクエスト URL を処理することで、認証なしで任意の API コマンドを実行される可能性があります。
アップデートする
開発者が提供する情報をもとに、以下のバージョンにアップデートしてください。
- 2019.4 HF 6
- 2020.2.1 HF 2
- 2019.2 SUPERNOVA Patch
- 2018.4 SUPERNOVA Patch
- 2018.2 SUPERNOVA Patch
ワークアラウンドを実施する
アップデートを適用するまでの回避策として、当該製品が動作する IIS サーバの設定変更に関する情報が提供されています。
詳しくは Security Advisory を参照してください。
| ベンダ | リンク |
| SolarWinds | SolarWinds Security Advisory |
| Security Advisory FAQ |
-
Vulnerability Note VU#843464
SolarWinds Orion API authentication bypass allows remote command execution
