Thực thi mã từ xa không cần xác thực do deserialization trong SolarWinds Observability Self-Hosted

SolarWinds Observability Self-Hosted được xác định là bị ảnh hưởng bởi lỗ hổng thực thi mã từ xa không cần xác thực, bắt nguồn từ việc giải tuần tự dữ liệu không đáng tin cậy khi ứng dụng được cấu hình sử dụng một chế độ giao tiếp cụ thể.

• SolarWinds Observability Self-Hosted 2026.2.2 và các phiên bản thấp hơn: được SolarWinds xác định là bị ảnh hưởng.
• Phạm vi bị ảnh hưởng trong bản ghi chuẩn hóa là các phiên bản nhỏ hơn 2026.2.3, với trạng thái mặc định là affected.
• SolarWinds xác định 2026.2.3 là bản phần mềm đã khắc phục. Bằng chứng hiện có không xác lập trạng thái của các nhánh phát hành song song hoặc các nhánh về sau ngoài bản phát hành được nêu rõ này.
• Điều kiện phơi nhiễm: ứng dụng phải sử dụng một chế độ giao tiếp cụ thể; advisory công khai không nêu tên chế độ đó. Release notes có đề cập đến các kiểu cài đặt WPM player và thay đổi communication mode, nhưng không nói rằng mọi WPM installation đều bị ảnh hưởng bởi lỗ hổng này.

Lỗ hổng thuộc CWE-502 xảy ra khi ứng dụng giải tuần tự dữ liệu không đáng tin cậy trong một chế độ giao tiếp cụ thể. Nếu dữ liệu serialized do kẻ tấn công cung cấp đi đến đường xử lý này, kết quả được ghi nhận là thực thi mã từ xa mà không cần xác thực. Bản ghi chuẩn hóa mô tả khả năng tiếp cận qua mạng lân cận, độ phức tạp thấp và không cần tương tác của người dùng. Thông báo công khai không nêu endpoint, giao thức, định dạng serialization, dịch vụ bị ảnh hưởng hoặc chính xác chế độ giao tiếp nào dễ bị tấn công. Release notes liên quan có đề cập đến các thành phần WPM và giao tiếp do server khởi tạo so với do player khởi tạo, nhưng không liên kết rõ một chế độ cụ thể với lỗ hổng này; không nên tự suy luận phạm vi từ những thông tin đó.

Bản ghi chuẩn hóa mô tả lỗ hổng có thể bị khai thác qua mạng lân cận, với độ phức tạp thấp, không cần xác thực và không cần tương tác của người dùng. Điều này có nghĩa là kẻ tấn công không cần đăng nhập ứng dụng, nhưng phải có vị trí mạng phù hợp với phạm vi mạng lân cận. Endpoint, giao thức và chế độ giao tiếp dễ bị tấn công chưa được công khai. Bản ghi được cung cấp không ghi nhận public exploit và không xác định trạng thái khai thác thực tế; sự thiếu vắng thông tin này không chứng minh rằng chưa từng có khai thác.

Khai thác thành công có thể cho phép thực thi mã trong security context của dịch vụ bị ảnh hưởng. Các trường tác động trong bản ghi cấu trúc cho thấy hậu quả có thể ảnh hưởng nghiêm trọng đến tính bảo mật, tính toàn vẹn và tính sẵn sàng; trên thực tế, điều này có thể dẫn đến lộ dữ liệu giám sát, thay đổi cấu hình hoặc trạng thái được theo dõi, hay gián đoạn dịch vụ, tùy thuộc vào quyền của process. Bản ghi không xác định process chạy với đặc quyền OS cao đến mức nào hoặc việc cô lập máy chủ có giới hạn phạm vi ảnh hưởng ra sao. Vì không cần xác thực hoặc tương tác của người dùng, việc xâm nhập một instance có thể truy cập được có thể là bước đầu cho các hoạt động tiếp theo trong deployment, nhưng khả năng di chuyển ngang chưa được bằng chứng hiện có xác nhận.

Kẻ tấn công có khả năng truy cập dịch vụ từ mạng lân cận có thể thực thi mã trong security context của dịch vụ bị ảnh hưởng. Điều này có thể tác động đến tính bảo mật, tính toàn vẹn và tính sẵn sàng của hệ thống giám sát cũng như dữ liệu mà hệ thống có quyền truy cập. Việc không yêu cầu tài khoản ứng dụng làm giảm một lớp kiểm soát truy cập quan trọng, trong khi đặc quyền OS của process và ranh giới cô lập triển khai chưa được tài liệu hóa trong bằng chứng hiện có. Do đó, các instance có khả năng tiếp cận từ mạng lân cận nên được ưu tiên kiểm tra và cập nhật, nhưng không nên suy luận rằng đã xảy ra sự cố chỉ từ trạng thái dễ bị tổn thương.

1. Nâng cấp SolarWinds Observability Self-Hosted lên phiên bản 2026.2.3, là bản fixed software release được SolarWinds xác định.
2. Sử dụng quy trình nâng cấp thông thường của SolarWinds và xác minh toàn bộ deployment, bao gồm các scalability engine, đã đạt đến fixed release dự kiến. Release notes cho biết SolarWinds Installer nâng cấp toàn bộ sản phẩm SolarWinds Platform và scalability engine trong deployment.
3. Với deployment có WPM player, xác nhận player mặc định và remote player đã hoàn tất nâng cấp. Release notes lưu ý rằng remote passive player có tắt Enable Upgrade sẽ không được tự động nâng cấp.
4. Nếu chưa thể nâng cấp ngay, hạn chế quyền truy cập từ mạng lân cận đến dịch vụ bị ảnh hưởng và cô lập deployment quản trị như một biện pháp phòng thủ bổ sung. Đây không phải workaround được nhà cung cấp xác nhận. Không nên coi việc thay đổi communication mode là biện pháp khắc phục, vì tài liệu công khai không xác định chế độ dễ bị tấn công.

1. Kiểm kê mọi instance SolarWinds Observability Self-Hosted, ghi nhận release đang cài đặt, topology triển khai và cấu hình communication mode.
2. Ưu tiên các instance nằm trong ranh giới phiên bản bị ảnh hưởng được nêu ở trên và các instance sử dụng chế độ được nhắc đến trong advisory. Vì advisory công khai không gọi tên chế độ này, cần giữ nguyên mức độ không chắc chắn và xác nhận với SolarWinds nếu cần.
3. Với môi trường có WPM, lập danh sách player mặc định trên polling engine, remote player ở passive mode và remote player ở active mode; sau đó kiểm tra trạng thái nâng cấp của từng player. Đặc biệt kiểm tra remote passive player có tắt Enable Upgrade, vì release notes cho biết các player này không được tự động nâng cấp lên bản mới nhất.
4. Sau khi khắc phục, xác minh độc lập release của sản phẩm và trạng thái của toàn bộ scalability engine, không chỉ máy chủ trung tâm.
5. Rà soát network telemetry và host monitoring để tìm các kết nối không xác thực bất thường từ các phân đoạn mạng lân cận, thay đổi bất thường về process hoặc service, hoặc hoạt động thực thi khác thường quanh dịch vụ bị ảnh hưởng. Đây là điểm kiểm tra phòng ngừa, không phải indicator được nhà cung cấp công bố cho lỗ hổng này.
6. Bản ghi và tài liệu nhà cung cấp được kiểm tra không cung cấp IOC hoặc log signature riêng cho lỗ hổng này. Không có bằng chứng như vậy không chứng minh hệ thống an toàn hoặc chưa bị khai thác.