La patch di Dameware corregge anche falle nei componenti esterni
INCIBE riferisce che SolarWinds Dameware 2026.3.1 risolve cinque vulnerabilità: tre nel prodotto e due in componenti di terze parti. La correzione riguarda quindi più delle sole falle specifiche di Dameware; sono interessate le versioni 2026.3 e precedenti.
Una delle vulnerabilità di Dameware è una command injection che può consentire a un utente autenticato di compromettere il computer controllato da remoto. Un’altra riguarda il decoder Brotli: dati compressi costruiti ad hoc possono corrompere la memoria durante la decompressione, causando esposizione di informazioni, DoS o, potenzialmente, esecuzione di codice.
Dameware amministra sistemi a distanza, quindi un’esecuzione di codice riuscita può mettere a rischio anche i sistemi gestiti. Le fonti non segnalano sfruttamento confermato: l’impatto resta potenziale, ma può estendersi oltre il singolo strumento.
CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 83% (100º percentile). Patch Microsoft: Release Notes.
CVSS 9.9 CRITICAL: solarWinds Dameware was found to be affected by a command injection vulnerability that could lead to the compromise of the remotely controlled host.
Aggiornamenti di sicurezza risolvono tre vulnerabilità, di cui una con gravità "critica" e due con gravità "alta", presenti in SolarWinds Dameware, nota soluzione di amministrazione remota e supporto IT utilizzata per la gestione, il controllo e l'assistenza di sistemi informatici.