SolarWinds Orion Platform < 2020.2.1 HF2 多种漏洞

high Nessus 插件 ID 144449

语言：

简介

远程主机上运行的应用程序受多个漏洞影响。

描述

根据其自我报告的版本号，SolarWinds Orion Platform 版本低于 2020.2.1 hot fix 2。
因此，该应用程序受到多个漏洞的影响：

- ExecuteVBScript 方法中存在一个远程代码执行漏洞，这是因为未正确验证用户提供的字符串，便将其用于执行系统调用所导致。经过身份验证的远程攻击者可利用此漏洞以 SYSTEM 权限执行任意命令。(CVE-2020-14005)

- WriteToFile 方法中存在一个 SQL 注入 (SQLi) 权限升级漏洞，这是因为不当验证用于构建 SQL 查询的用户提供的字符串所致。经过身份验证的远程攻击者可通过 SQLi 利用此问题来提升权限并重置 Admin 用户密码。
(CVE-2020-27869)
- ExportToPDF.aspx 中存在一个信息泄露漏洞，这是因为在文件操作中使用用户提供的路径之前未对其进行正确验证所导致。经过身份验证的远程攻击者可利用此漏洞，在 SYSTEM 上下文中泄露潜在的敏感信息。(CVE-2020-27870)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。