SolarWinds phát hành bản vá cho 4 lỗ hổng CVSS 9.1 trong Serv-U 15.5

[WhiteHat Team]

SolarWinds vừa phát hành bản vá khẩn cấp để xử lý một chuỗi lỗ hổng nghiêm trọng trong phần mềm truyền tải tệp Serv-U. Nếu bị khai thác, các lỗ hổng này có thể trở thành bàn đạp giúp kẻ tấn công leo thang đặc quyền và giành quyền kiểm soát hoàn toàn hệ thống. Hiện nay, các chiến dịch tấn công nhắm trực tiếp vào hạ tầng quản lý dữ liệu ngày càng tinh vi, việc cập nhật ngay lập tức trở thành yêu cầu sống còn để bảo vệ máy chủ doanh nghiệp trước những kịch bản xâm nhập tồi tệ nhất.
​

Cả bốn lỗ hổng đều được chấm 9.1 điểm theo thang CVSS, bao gồm:​

• CVE-2025-40538: Lỗ hổng kiểm soát truy cập không đầy đủ, cho phép kẻ tấn công tạo tài khoản quản trị hệ thống và thực thi mã tùy ý với quyền root thông qua đặc quyền domain admin hoặc group admin.​
• CVE-2025-40539: Lỗ hổng nhầm lẫn kiểu dữ liệu type confusion, có thể bị khai thác để thực thi mã native với quyền root.​
• CVE-2025-40540: Một lỗ hổng type confusion khác với tác động tương tự, cho phép thực thi mã native ở mức đặc quyền cao nhất.​
• CVE-2025-40541: Lỗ hổng tham chiếu đối tượng trực tiếp không an toàn IDOR, cho phép thực thi mã native với quyền root nếu bị khai thác thành công.​

Theo thông tin từ phía nhà sản xuất, việc khai thác thành công các lỗ hổng này đòi hỏi kẻ tấn công phải sở hữu quyền quản trị hợp lệ từ trước. SolarWinds cũng lưu ý rằng rủi ro trên các triển khai chạy hệ điều hành Windows được đánh giá ở mức trung bình, do dịch vụ Serv-U tại đây thường mặc định vận hành dưới các tài khoản dịch vụ có đặc quyền thấp hơn. Tuy nhiên, nguy cơ chiếm quyền điều khiển hoàn toàn máy chủ vẫn hiện hữu trong các môi trường cấu hình sai hoặc cấp quyền không kiểm soát.

Các lỗ hổng nêu trên ảnh hưởng trực tiếp đến phiên bản Serv-U 15.5 và hiện đã được khắc phục triệt để trong phiên bản 15.5.4. Mặc dù SolarWinds chưa ghi nhận dấu hiệu khai thác trong thực tế đối với đợt lỗi này, nhưng tiền lệ cho thấy Serv-U luôn là mục tiêu ưa thích của các nhóm tin tặc. Các lỗ hổng cũ như CVE-2021-35211, CVE-2021-35247 và CVE-2024-28995 từng bị nhiều tác nhân đe dọa lợi dụng, điển hình là nhóm Storm-0322 (trước đây là DEV-0322) có liên hệ với Trung Quốc, buộc các quản trị viên phải ưu tiên cập nhật sớm nhất có thể.
​

Theo The Hacker News​