SolarWinds Orion est une plateforme d'entreprise largement déployée pour la gestion des réseaux et des systèmes (Network Performance Monitor et les modules qui l'entourent). Elle est de grande valeur parce qu'elle à la fois atteint et stocke les identifiants de tout le parc géré : elle interroge et configure les équipements via SNMP, SSH, WMI et des API, en détenant ces identifiants, et elle occupe une position centrale dotée d'un large accès réseau. La surface d'attaque, c'est l'authentification de la console web, la récolte des identifiants d'équipements et de réseau stockés (qui déverrouillent directement l'environnement géré), et les graves vulnérabilités connues de la plateforme Orion, y compris les chaînes de contournement pré-authentification et d'exécution de code à distance. Chacune de ces voies convertit une compromission d'Orion en un contrôle des équipements et des systèmes qu'elle gère. Orion est également la plateforme à l'origine d'une compromission majeure de la chaîne d'approvisionnement, ce qui souligne sa position centrale et sa valeur.
curl -sk https://<target>/Orion/Login.aspx | grep -ioE 'SolarWinds[^<]*' # fingerprint
Sous-thèmes#
- Énumération : identification du produit et de la version.
- Authentification : identifiants par défaut et faibles de la console.
- Récolte d'identifiants : identifiants d'équipements et de réseau stockés.
- Exploits connus : les chaînes de contournement pré-authentification et de RCE.