SolarWinds Web Help Desk-də Tənqidi Zəifliklər Uzaqdan Kod İcrasına Yol Açıb

SolarWinds WHD-də Tənqidi Zəifliklər Aşkar Edildi

Horizon3.ai tədqiqatçıları SolarWinds Web Help Desk (WHD) proqramında bir neçə tənqidi zəifliklər aşkarlayıblar. Bu zəifliklər, xüsusilə CVE-2025-40551 ilə nəticələnən, Java deserialization vasitəsilə autentifikasiya olunmamış RCE (Remote Code Execution) imkanları yaradır.

Bu boşluqlar statik giriş məlumatlarını, təhlükəsizlik yan keçmələrini və deserialization zəifliklərini birləşdirir və 2026.1-dən əvvəlki versiyalara təsir edir.

SolarWinds WHD Haqqında

SolarWinds WHD, IT xidmətləri idarəetməsi (ITSM) və aktivlərin izlənməsi üçün istifadə olunan bir platformadır. Şirkət keçmişdə dəfələrlə deserialization problemləri ilə üzləşib.

2024-cü ildə CVE-2024-28986 zəifliyi AjaxProxy vasitəsilə RCE-ə imkan vermiş və CISA-nın Məlum İstismar Edilmiş Zəifliklər (Known Exploited Vulnerabilities) kataloquna əlavə edilmişdi. Həmin vaxt çıxarılan yamalar CVE-2024-28988 və CVE-2025-26399 tərəfindən yan keçilmişdi.

Son aşkarlanan zəifliklər zənciri də oxşar yolları istismar edərək JSON-RPC idarəetməsindəki sanitization mexanizmlərini yan keçir.

Aşkar Edilmiş Zəifliklərin Təfərrüatları

Aşkar edilmiş zəifliklər arasında “hardcoded” giriş məlumatları, CSRF və request-filter bypass-lar, həmçinin jabsorb kitabxanasındakı təhlükəsiz olmayan deserialization daxildir.

Əsas Zəifliklər:

CVE-2025-40551: Autentifikasiya olunmamış RCE vasitəsilə AjaxProxy deserialization. CVSS v3.1 balı: 9.8. Təsiri: Uzaqdan əmrlərin icrası.

CVE-2025-40537: Statik “client:client” giriş məlumatları admin icazələrinə yol açır. CVSS v3.1 balı: 7.5. Təsiri: İcazəsiz imtiyaz yüksəltməsi.

CVE-2025-40536: Yalan “/ajax/” parametri vasitəsilə qoruma mexanizminin yan keçilməsi. CVSS v3.1 balı: 8.1. Təsiri: Məhdudlaşdırılmış WebObject-lərə giriş.

İstismar Zənciri Necə İşləyir?

Hücumçular URI-ləri “/ajax/”-dən “/wo/”-ya dəyişdirərək “whitelist”-ləri yan keçir, “wopage” ilə komponentlər yaradır və JNDI “lookup” kimi “gadget”-ləri yeridir.

Autentifikasiya olunmamış hücumçular əvvəlcə daxilolma səhifəsində “session” yaradırlar ki, “wosid” və XSRF “token”-lərini əldə etsinlər. Onlar “?badparam=/ajax/&wopage=LoginPref” parametrləri ilə filterləri yan keçərək “LoginPref”-i instansiya edir, bu da AjaxProxy girişinə imkan verir. Daha sonra deserialization üçün JSONRPC vasitəsilə zərərli JSON “payload”-ları POST edirlər.

Nuclei şablonu xarici serverlərə JNDI “lookup” nümayiş etdirərək RCE potensialını təsdiqləyir.

Kompromiss Əlamətlərinin Monitorinqi

İstismar əlamətləri üçün <Install>/logs/ qovluğundakı log-ları izləmək tövsiyə olunur.

• whd-session.log: “eventType=[login], accountType=[client], username=[client]” kimi giriş hadisələri.
• whd.log: “Whitelisted payload with matched keyword: java..” və ya JSONRPC xətaları.
• Access logs: “/Helpdesk.woa/wo/*” ünvanına qeyri-whitelist edilmiş parametrlərlə (məsələn, “badparam=/ajax/”) edilən sorğular.

Məhdudlaşdırılmış “endpoint”-lərə qeyri-adi IP ünvanlardan daxilolmalar da kompromis əlaməti ola bilər.

Tövsiyə Edilən Təhlükəsizlik Tədbirləri

SolarWinds-in buraxılış qeydlərinə əsasən, bu problemləri həll edən WHD 2026.1 versiyasına təcili yeniləmək vacibdir.

Varsayılan hesabları (default accounts) deaktiv etmək və ciddi sorğu filtrləməsini tətbiq etmək üçün konfiqurasiyaları nəzərdən keçirmək tövsiyə olunur.

NodeZero kimi alətlərdə mühafizə mövcuddur; istismar yeniləmələri üçün CISA xəbərdarlıqlarını izləyin.