CVE-2025-40538

SolarWinds Serv-U: broken access control umożliwiający RCE jako administrator systemu

CVSS 9.1v3.1pub. 2026-02-24

Podatność broken access control w SolarWinds Serv-U pozwala atakującemu posiadającemu uprawnienia administratora domeny lub grupy na utworzenie konta administratora systemu i wykonanie dowolnego kodu. Wysoki wynik CVSS (9.1) wynika z możliwości całkowitego przejęcia kontroli nad systemem.

▸ Pokaż oryginał (EN)

A broken access control vulnerability exists in Serv-U which when exploited, gives a malicious actor the ability to create a system admin user and execute arbitrary code as a privileged account via domain admin or group admin privileges. This issue requires administrative privileges to abuse. On Windows deployments, the risk is scored as a medium because services frequently run under less-privileged service accounts by default.

🤖 Analiza AI

Jak działa

Luka wynika z nieprawidłowej kontroli dostępu (CWE-269 — niewłaściwe zarządzanie uprawnieniami). Atakujący posiadający uprawnienia administratora domeny lub administratora grupy w aplikacji Serv-U może nadużyć tej podatności do utworzenia konta z uprawnieniami administratora systemowego. Następnie, korzystając z tak uzyskanych przywilejów, możliwe jest wykonanie dowolnego kodu (RCE) w kontekście uprzywilejowanego konta. Na systemach Windows ryzyko jest oceniane niżej, ponieważ usługi domyślnie działają na kontach z ograniczonymi uprawnieniami.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem Serv-U poprzez utworzenie uprzywilejowanego konta administratora i wykonanie dowolnego kodu, co prowadzi do naruszenia poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zaktualizować SolarWinds Serv-U do wersji 15.5.4 lub nowszej zgodnie z informacjami w oficjalnych notatkach wydania producenta dostępnych pod adresem wskazanym w referencjach. Dodatkowo zaleca się ograniczenie liczby kont z uprawnieniami administratora domeny i grupy zgodnie z zasadą najmniejszych uprawnień.

Kogo dotyczy

SolarWinds Serv-U — wersje wskazane w referencjach producenta (podatność adresowana w wersji Serv-U 15.5.4)

Uwagi

Producent explicite wskazuje, że na wdrożeniach Windows rzeczywiste ryzyko jest niższe (ocena medium), ponieważ usługi Serv-U domyślnie działają na kontach z ograniczonymi uprawnieniami serwisowymi. Exploit wymaga posiadania uprawnień administracyjnych (admin domeny lub grupy) — nie jest to podatność możliwa do wykorzystania przez nieuprzywilejowanego użytkownika.