Duas vulnerabilidades de alta gravidade corrigidas recentemente na plataforma SolarWinds podem levar à execução de comandos e escalonamento de privilégios.

O mais grave dos dois problemas é o CVE-2022-36963, que é descrito como um bug de injeção de comando na solução de gerenciamento e monitoramento de infraestrutura da SolarWinds.

A empresa explica que a falha pode ser explorada remotamente para executar comandos arbitrários. A exploração bem-sucedida da vulnerabilidade requer que o invasor possua as credenciais de uma conta de administrador válida da plataforma SolarWinds.

Rastreado como CVE-2022-47505, o segundo problema de alta gravidade é descrito como uma falha de escalonamento de privilégio local. “Essa vulnerabilidade permite que um adversário local com uma conta de usuário de sistema válida aumente os privilégios locais”, explica SolarWinds.

A empresa também corrigiu dois bugs de gravidade média no Database Performance Analyzer, um levando à divulgação de informações confidenciais e outro permitindo que os usuários enumerassem pastas diferentes do servidor.

A SolarWinds não menciona nenhuma dessas falhas exploradas em ataques. Detalhes adicionais sobre os bugs podem ser encontrados na página de avisos de segurança da SolarWinds.