Kritiske sårbarheder i SolarWinds Serv‑U

SolarWinds har rettet fire kritiske sårbarheder i filoverførselsproduktet Serv‑U. Alle fire fejl kan udnyttes til remote code execution og har fået en CVSS-score på 9,1. Det skriver The Register m.fl.

Sårbarhederne omfatter:

• EUVD-2025-207546 / CVE-2025-40538 – Broken access control
  Gør det muligt for en angriber at oprette en systemadministrator og køre kode med høje privilegier.
• EUVD-2025-207545 / CVE-2025-40539 og EUVD-2025-207544 / CVE-2025-40540 – Type confusion
  Kan give RCE i Serv‑U-kontekst.
• EUVD-2025-207543 / CVE-2025-40541 – Insecure Direct Object Reference
  Muliggør uautoriseret adgang til objekter og funktioner i systemet.

SolarWinds oplyser, at alle fire fejl er rettet i Serv‑U 15.5.4, og at virksomheden ikke har set tegn på aktiv udnyttelse.

Selvom sårbarhederne kræver administrative rettigheder, peger The Register på, at Serv‑U og andre filoverførselsløsninger historisk er attraktive mål. Tidligere Serv‑U-sårbarheder findes allerede på CISA’s liste over kendte udnyttede sårbarheder, og SolarWinds Web Help Desk blev tidligere på måneden udsat for aktiv udnyttelse kort efter offentliggørelsen af en kritisk RCE‑fejl.

Det anbefales at opdatere Serv‑U til version 15.5.4 hurtigst muligt, særligt hvis systemet er internet‑eksponeret eller bruges til håndtering af følsomme data.

Bemærk: På https://vulnerability.cert.dk/ kan du skrive dig op til at modtage varsler, som kun vedrører systemer, som er relevante for dig. Opret en profil på vulnerability.cert.dk og tilmeld de systemer, du ønsker at få varsler på.