CVE-2026-28313: Kritisk IDOR-fejl i SolarWinds Serv-U

Sårbarheden findes i SolarWinds Serv-U, en server til fil- og dataoverførsel via FTP og SFTP. Fejlen kaldes IDOR, insecure direct object reference, og betyder at systemet ikke tjekker ordentligt, om en bruger har ret til at tilgå et bestemt objekt i systemet. Konkret kan en bruger med forhøjede rettigheder manipulere SMTP-indstillinger, protokollen der bruges til at sende e-mail, og dermed overtage vilkårlige andre brugerkonti på serveren. Angrebet kræver ingen handling fra offeret. Konsekvensen er mindre alvorlig på Windows-installationer end på andre platforme.

Det rammer virksomheder og kommuner, der kører SolarWinds Serv-U til filoverførsel, for eksempel til udveksling af filer med kunder, leverandører eller mellem afdelinger. Både Windows- og Linux-installationer er berørt, men konsekvensen er lavere på Windows. Alle organisationer bør tjekke deres installerede version op mod SolarWinds’ seneste sikkerhedsopdatering.

En bruger, der allerede har en konto med forhøjede rettigheder, eller en angriber der har kompromitteret en sådan konto, kan bruge fejlen til at overtage andre brugerkonti på Serv-U-serveren. Det giver adgang til andres filer, e-mail sendt via serveren og mulighed for at udgive sig for andre brugere internt eller over for kunder. I en dansk virksomhed kan det betyde, at følsomme kundefiler eller kontrakter bliver læst eller ændret uden at det opdages med det samme.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen allerede har en konto med høje rettigheder på Serv-U, men kræver ingen godkendelse fra offeret og ingen interaktion fra en bruger. Det kan udføres over netværket med lav teknisk kompleksitet, og det påvirker fortrolighed, integritet og tilgængelighed i fuldt omfang. Der er ikke oplyst om aktiv udnyttelse på offentliggørelsestidspunktet, men den lave kompleksitet og det høje skadespotentiale gør sårbarheden til en prioriteret opgave.

Følg disse trin for at lukke sårbarheden og begrænse skaden:

1. Opdatér SolarWinds Serv-U til den nyeste version med rettelsen fra SolarWinds. Tjek producentens sikkerhedsside for den konkrete version, der lukker CVE-2026-28313.
2. Gennemgå alle brugerkonti med forhøjede rettigheder på Serv-U, og fjern eller begræns adgang for konti, der ikke har behov for det.
3. Tjek logs for usædvanlige ændringer i SMTP-indstillinger eller uventede kontoændringer i perioden op til opdatering.
4. Begræns netværksadgang til Serv-U-serveren, så den kun kan tilgås fra kendte IP-adresser eller via VPN.
5. Skift adgangskoder for brugere med forhøjede rettigheder, hvis I ikke kan udelukke, at fejlen er blevet udnyttet.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan verificere, at opdateringen er installeret korrekt, eller hvis logs viser mistænkelig aktivitet.