Vulnerabilità · 9 ore fa

La patch di Dameware corregge anche falle nei componenti esterni

INCIBE riferisce che SolarWinds Dameware 2026.3.1 risolve cinque vulnerabilità: tre nel prodotto e due in componenti di terze parti. La correzione riguarda quindi più delle sole falle specifiche di Dameware; sono interessate le versioni 2026.3 e precedenti.

Una delle vulnerabilità di Dameware è una command injection che può consentire a un utente autenticato di compromettere il computer controllato da remoto. Un’altra riguarda il decoder Brotli: dati compressi costruiti ad hoc possono corrompere la memoria durante la decompressione, causando esposizione di informazioni, DoS o, potenzialmente, esecuzione di codice.

Dameware amministra sistemi a distanza, quindi un’esecuzione di codice riuscita può mettere a rischio anche i sistemi gestiti. Le fonti non segnalano sfruttamento confermato: l’impatto resta potenziale, ma può estendersi oltre il singolo strumento.

CVE-2026-111497

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 83% (100º percentile). Patch Microsoft: Release Notes.

Patch disponibile KB5133964 Scarica →

Data di correzione federale CISA 10 nov

CVE-2026-28336

NVD KEV

CVSS 9.9 CRITICAL: solarWinds Dameware was found to be affected by a command injection vulnerability that could lead to the compromise of the remotely controlled host.

CVE-2026-28335

NVD KEV

CVSS 8.4 HIGH: solarWinds Dameware was found to be affected by a buffer overflow vulnerability that can result in remote code execution.

CVE-2026-28327

NVD KEV

CVSS 8.2 HIGH: solarWinds Dameware was found to be affected by a DLL hijacking vulnerability.

Cronologia

Fonti

2 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-11-04

Editions

Storie correlate