Dameware 2026.3.1 закрывает внедрение команд и перехват DLL

SolarWinds выпустила исправления для Dameware, инструмента удалённого управления рабочими станциями. Часть уязвимостей позволяет выполнить код на удалённом хосте. Другая даёт подменить библиотеку во время установки. При этом затронуты администраторы, которые держат Dameware на серверах и рабочих местах.

Внедрение команд и перехват DLL в Dameware

Проблема касается инструмента, через который администратор получает полный доступ к чужому рабочему столу. Поэтому компрометация Dameware даёт атакующему широкие возможности. Такие инструменты работают с высокими правами. Уведомления SolarWinds по этим уязвимостям вышли 3 ноября 2026 года. Исправленная сборка 2026.3.1 закрывает все версии вплоть до 2026.3 включительно.

Отдельное уведомление CVE-2026-28336 описывает внедрение команд. При этом Dameware исполняет подставленные строки как собственные команды. Пройти аутентификацию атакующему нужно, зато дальше он получает контроль над управляемым хостом. По шкале CVSS 3.1, где 10 - максимум опасности, уязвимость оценили в 9.9. Атака идёт по сети и не требует действий пользователя.

Переполнение буфера в CVE-2026-28335 тоже ведёт к выполнению кода. Лишние данные перезаписывают память процесса, поэтому атакующий может подставить свою логику. При этом атака идёт по сети. Сложность у неё высокая, и вход в систему нужен. Участие пользователя не требуется, но начать атакующему придётся с чужой учётной записи.

Уведомление CVE-2026-28327 описывает перехват DLL, то есть динамических библиотек Windows. При этом Dameware ищет библиотеку в месте, куда может положить файл посторонний. Подмена срабатывает только при установке. Для такой атаки нужен доступ к локальной машине и права администратора.

Внедрение команд опасно тем, что превращает штатную функцию в чужой инструмент. Вместо управления своей машиной атакующий получает командную оболочку на управляемом хосте. Оттуда он читает данные и меняет настройки. Из-за этого инцидент затрагивает уже не один компьютер.

Практический риск связан с правами самого продукта. Через Dameware администратор управляет чужими машинами, поэтому успешная атака расширяет доступ злоумышленника. Одного патча мало. Важна и сегментация сети. Обновлять нужно все копии продукта, а не только серверную.

Исправление и обходные меры

Обновиться предлагается до Dameware 2026.3.1. SolarWinds советует сделать это как можно скорее. Обходных мер в уведомлениях нет, поэтому новая сборка остаётся единственным вариантом. После обновления перечисленные способы атаки перестают работать.

Сведений об эксплуатации этих уязвимостей в реальных атаках нет. Это не отменяет обновления, локальные копии Dameware патчить нужно. Кроме того, проверить стоит тестовые стенды, где обновления часто откладывают. Начать лучше с инвентаря.

Обновление меняет для защищённости продукта главное. Пока версия не пропатчена, пользователь с учётной записью может попробовать внедрение команд. После установки такой запрос не приводит к исполнению чужих команд. Поэтому откладывать патч до планового окна не стоит.

Уязвимость в декодере Brotli

Уведомление SolarWinds по CVE-2026-111497 относится к библиотеке Brotli. Brotli - это алгоритм сжатия от Google. Его используют серверы и приложения, в том числе на Node.js. Ошибка в декодере затрагивает версии с 1.0.3 по 1.2.0. Исправления вышли в 1.0.10, 1.1.1 и 1.2.1.

Атака идёт по сети, учётные данные не нужны, участие пользователя тоже не требуется. Достаточно, чтобы сервер принял специально сжатый поток. В результате одного запроса хватает для чтения памяти или отказа в работе. Выполнение кода при этом тоже возможно.

Эта уязвимость попала в каталог известных эксплуатируемых уязвимостей CISA KEV. Значит, атаки на декодер идут не только в теории. Детали раскрыли в феврале 2026 года, задолго до выхода исправлений. Из-за этого откладывать обновление библиотек нельзя.

SolarWinds сообщает, что Dameware Remote Everywhere этой уязвимостью не затронута. Локальные продукты проверили сканерами. Уязвимых функций в них не нашли. В качестве меры предосторожности вендор советует блокировать подозрительные запросы. Речь о запросах, тело которых сжато алгоритмом Brotli.

Серверам на .NET рекомендуют следовать указаниям Microsoft. Администратору стоит обновить Dameware и проверить версии библиотек сжатия. Проверка занимает минуты. Разбор последствий затягивается надолго. Кроме того, правила для сжатых тел запросов полезны и после установки патча.

Внедрение команд и перехват DLL в Dameware

Исправление и обходные меры

Уязвимость в декодере Brotli

Ссылки