CVE-2025-40539

Type confusion w SolarWinds Serv-U umożliwia RCE na uprzywilejowanym koncie

CVSS 9.1v3.1pub. 2026-02-24

W aplikacji SolarWinds Serv-U wykryto podatność typu type confusion (CWE-704), która pozwala atakującemu na wykonanie dowolnego kodu natywnego w kontekście uprzywilejowanego konta. Podatność otrzymała ocenę CVSS 9.1 (Critical), choć na systemach Windows ryzyko jest nieco niższe ze względu na domyślne uruchamianie usług na mniej uprzywilejowanych kontach.

▸ Pokaż oryginał (EN)

A type confusion vulnerability exists in Serv-U which when exploited, gives a malicious actor the ability to execute arbitrary native code as privileged account. This issue requires administrative privileges to abuse. On Windows deployments, the risk is scored as a medium because services frequently run under less-privileged service accounts by default.

🤖 Analiza AI

Jak działa

Podatność polega na nieprawidłowej konwersji typów (type confusion) wewnątrz Serv-U, co umożliwia atakującemu zmylenie aplikacji co do faktycznego typu przetwarzanych danych. Skutkuje to możliwością wykonania dowolnego kodu natywnego (native code execution) z uprawnieniami konta, na którym działa usługa. Wykorzystanie podatności wymaga posiadania uprawnień administracyjnych w aplikacji. Na systemach Windows domyślne konfiguracje z mniej uprzywilejowanymi kontami usług ograniczają praktyczny zasięg ataku.

Skutki

Atakujący posiadający uprawnienia administracyjne może wykonać dowolny kod natywny w kontekście uprzywilejowanego konta, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia integralności i dostępności usługi.

Mitygacja

Należy zaktualizować SolarWinds Serv-U do wersji 15.5.4 lub nowszej zgodnie z informacjami zawartymi w notatkach wydania producenta (Serv-U 15.5.4 Release Notes). Zaleca się również stosowanie zasady najmniejszych uprawnień dla kont usług, szczególnie na systemach Windows.

Kogo dotyczy

SolarWinds Serv-U — wersje wcześniejsze niż 15.5.4 (zgodnie z referencjami producenta)

Uwagi

Producent wskazuje, że na systemach Windows ryzyko jest oceniane jako średnie (medium), ponieważ usługi domyślnie działają na kontach o ograniczonych uprawnieniach. Podatność wymaga uprawnień administracyjnych do przeprowadzenia ataku (PR:H w wektorze CVSS).