La taille de la plateforme Orion en a fait une source répétée de graves vulnérabilités. Les catégories comprennent un contournement d'authentification dans l'API Orion (atteignant des fonctionnalités authentifiées et administratives sans authentification), des failles de désérialisation et d'autres failles d'exécution de code à distance dans les composants web et de service (plusieurs atteignant SYSTEM car les services Orion s'exécutent avec des privilèges élevés), et des problèmes dans les nombreux modules Orion. Certaines sont pré-authentification. Pour une cible, identifiez la version exacte de la plateforme Orion et les modules installés, et faites-les correspondre à l'avis applicable, puisque le composant vulnérable et le fait qu'il nécessite ou non une authentification sont propres à la version et au module. Un exploit réussi fournit l'exécution de code sur le serveur Orion, qui détient les identifiants du parc géré et occupe une position centrale dans le réseau, ce qui en fait une compromission à fort impact. La confiance centrale accordée à Orion explique aussi pourquoi elle a servi de vecteur à un incident majeur de la chaîne d'approvisionnement.
# fingerprint version + modules, then match to the advisory
curl -sk https://<target>/Orion/Login.aspx | grep -ioE 'Orion Platform [0-9.]+'
curl -sk https://<target>/SolarWinds/InformationService/v3/Json/ # API surface present?
# the exploit is version/module-specific: API auth bypass, deserialization RCE, or a
# module-specific flaw; match the build to the SolarWinds advisory. SYSTEM is common.
Notes d'exploitation#
- Identifiez la version et les modules ; l'exploit applicable (contournement d'authentification de l'API, RCE par désérialisation, faille de module) et le fait qu'il soit pré-authentification sont propres au build, de sorte que la correspondance est l'étape clé.
- Les services Orion s'exécutent avec des privilèges élevés, de sorte qu'une RCE réussie équivaut fréquemment à SYSTEM sur le serveur Orion, ce qui fournit alors les identifiants stockés de tout le parc.
- Le contournement d'authentification de l'API est notable car il atteint des fonctionnalités administratives sans authentification ; vérifiez si la surface de l'API est présente et dans la plage visée.
- Les chaînes pré-authentification sont les plus nettes ; les chaînes post-authentification se combinent aux voies de l'authentification. La position centrale d'Orion rend chacune de ces voies à fort impact.