SolarWinds Orion expose une console web reconnaissable (la page de connexion à /Orion/Login.aspx) avec l'image de marque SolarWinds, et la version apparaît dans l'interface, le pied de page et les ressources statiques. La version et les modules Orion installés (Network Performance Monitor, Server & Application Monitor et d'autres) déterminent quelles vulnérabilités connues s'appliquent, puisque les graves chaînes de contournement et d'exécution de code à distance sont propres à la version et au module. Lire d'abord le build détermine si un exploit non authentifié est disponible pour cette instance ou si la voie des identifiants est à privilégier.
# fingerprint the console and version
curl -sk https://<target>/Orion/Login.aspx | grep -ioE 'SolarWinds|Orion Platform [0-9.]+'
curl -sk https://<target>/Orion/ | grep -ioE 'version[^<]*[0-9][0-9.]+'
# the Orion API/service endpoints (e.g. /SolarWinds/InformationService/) indicate modules
Notes d'exploitation#
- La version de la plateforme Orion et les modules installés correspondent aux exploits connus applicables ; identifiez les deux, car les chaînes sont propres à la version et au module.
- Une console accessible et une version dans la plage visée peuvent constituer un exploit non authentifié ; sinon, les voies de l'authentification et de la récolte d'identifiants s'appliquent.
- Orion est souvent partiellement exposé sur Internet (console web ou points de terminaison d'API) ; identifiez quels composants sont accessibles.
- Dirigez-vous vers les chaînes d'exploitation ou vers l'authentification selon l'accès et la version.