SolarWinds vá loạt lỗ hổng trong Web Help Desk cho phép RCE và bỏ qua xác thực

[WhiteHat Team]

SolarWinds vừa phát hành bản cập nhật bảo mật để khắc phục nhiều lỗ hổng ảnh hưởng tới Web Help Desk, trong đó có bốn lỗ hổng mức độ nghiêm trọng cao cho phép kẻ tấn công chưa xác thực bỏ qua cơ chế bảo vệ và thực thi mã từ xa trên hệ thống. Tất cả các vấn đề đã được xử lý trong phiên bản Web Help Desk 2026.1.
​

Theo công bố của SolarWinds, các lỗ hổng được xác định bao gồm:​

• CVE-2025-40536 điểm CVSS 8.1 cho phép bypass kiểm soát bảo mật và truy cập một số chức năng bị hạn chế mà không cần xác thực​
• CVE-2025-40537 điểm CVSS 7.5 liên quan tới thông tin xác thực được hard code, cho phép truy cập các chức năng quản trị thông qua tài khoản client​
• CVE-2025-40551 điểm CVSS 9.8 do lỗi deserialization dữ liệu không tin cậy, cho phép thực thi mã từ xa không cần xác thực​
• CVE-2025-40552 điểm CVSS 9.8 do lỗi bỏ qua xác thực, cho phép thực thi các action và method trong hệ thống​
• CVE-2025-40553 điểm CVSS 9.8 là một lỗi deserialization dữ liệu không tin cậy khác, tiếp tục mở đường cho thực thi mã từ xa​
• CVE-2025-40554 điểm CVSS 9.8 do lỗi bypass xác thực, cho phép gọi các action nội bộ của Web Help Desk​

Ba lỗ hổng đầu tiên được phát hiện và báo cáo bởi Jimi Sebree từ Horizon3.ai, trong khi ba lỗ hổng còn lại do Piotr Bazydlo của watchTowr phát hiện. Theo đánh giá của Rapid7, hai lỗ hổng deserialization cho phép kẻ tấn công từ xa chưa xác thực thực thi payload tùy ý trên máy chủ mục tiêu, bao gồm cả việc chạy lệnh hệ điều hành. Đây là một vector tấn công có độ ổn định cao và đặc biệt nguy hiểm do có thể bị khai thác trực tiếp từ bên ngoài hệ thống. Rapid7 cũng cho biết các lỗ hổng bypass xác thực còn lại có thể bị khai thác theo chuỗi để đạt được tác động tương đương với RCE.

Theo mô tả từ Jimi Sebree của Horizon3.ai, lỗ hổng CVE-2025-40551 bắt nguồn từ chức năng AjaxProxy, một thành phần từng nhiều lần xuất hiện trong các sự cố bảo mật của Web Help Desk. Kịch bản khai thác cho phép kẻ tấn công thiết lập phiên hợp lệ, tạo và thao túng component LoginPref để mở quyền truy cập upload file, sau đó lợi dụng JSON RPC bridge nhằm tạo và kích hoạt các Java object độc hại, từ đó thực thi mã từ xa trên hệ thống.

Web Help Desk không phải lần đầu đối mặt với các vấn đề bảo mật nghiêm trọng. Trước đó, sản phẩm này đã liên tục xuất hiện nhiều lỗ hổng, buộc SolarWinds phải phát hành các bản vá cho CVE-2024-28986, CVE-2024-28987, CVE-2024-28988 và CVE-2025-26399. Đáng chú ý, CVE-2025-26399 được xác định là lỗ hổng cho phép bỏ qua cơ chế khắc phục của CVE-2024-28988, trong khi CVE-2024-28988 vốn được phát hành nhằm vá CVE-2024-28986.

Cuối năm 2024, CISA đã đưa CVE-2024-28986 và CVE-2024-28987 vào danh mục Known Exploited Vulnerabilities, xác nhận các lỗ hổng này đã bị khai thác trong các chiến dịch tấn công.

Các lỗ hổng trong Web Help Desk từng bị khai thác trong các chiến dịch tấn công. Do đó, SolarWinds khuyến cáo các tổ chức sớm cập nhật bản vá và nâng cấp lên Web Help Desk 2026.1, đồng thời rà soát các hệ thống đang triển khai, đặc biệt là các hệ thống đang exposed ra Internet trong môi trường help desk và IT service management.
​

Theo The Hacker News​