SolarWinds раскрыла сведения об инъекции команд в Dameware - средстве удалённого администрирования рабочих станций и серверов. Ошибка позволяет выполнить произвольную команду на управляемом хосте и получить над ним контроль. Под угрозой установки, которые принимают данные от подключённого оператора удалённой поддержки. Без действующей учётной записи воспользоваться ошибкой нельзя.
Что даёт инъекция команд в CVE-2026-28336
Оценка по шкале CVSS - 9.9 из 10. Атака идёт по сети, сложность низкая, участие пользователя не требуется. Нужны лишь низкие привилегии, то есть рядовой аккаунт. Границы защиты при этом меняются: последствия выходят за пределы самого уязвимого компонента. Ущерб по конфиденциальности, целостности и доступности оценивают как высокий.
Низкие привилегии - важная деталь. Не нужно думать, что воспользоваться ошибкой способен только администратор с широкими правами. Достаточно учётной записи, которой разрешено подключаться к Dameware. Это расширяет круг тех, кто способен навредить, включая подрядчиков и сотрудников техподдержки.
Уведомление опубликовано 3 ноября 2026 года. Автора находки зовут Грег Бернатович, он представляет Red Team подразделения Boeing Enterprise Security. SolarWinds не раскрыла ни уязвимый параметр, ни способ выполнения команды, ни точный набор прав сверх оценок. Сведения об эксплуатации в реальных атаках вендор не приводит.
Dameware уже попадал в сводки по другой проблеме. Речь о CVE-2025-26396 - повышении привилегий из-за неверных разрешений в службе Mini Remote Control. Та ошибка требовала локального доступа и низкой учётной записи, её оценка - 7.8. Исправление вышло в версии 12.3.2. Путать эти два случая не нужно: новый патч закрывает инъекцию команд, а не старую проблему с разрешениями.
Технически всё сводится к проверке входных данных. Приложение неверно фильтрует то, что приходит от подключённого клиента, и передаёт строку в оболочку операционной системы. Так возникает CWE-20 - недостаточная проверка ввода. Дальше команда выполняется с правами службы Dameware. Атакующий получает то, что даёт эта служба: доступ к файлам, настройкам и учётным данным на хосте.
Проверка подлинности при этом остаётся на месте, обхода входа здесь нет. Это отличает находку от случаев, когда подключаться может любой желающий. Но низкие требования к правам упрощают задачу для того, у кого аккаунт уже есть. У операторов удалённой поддержки такие записи обычно в ходу.
Практический итог для защищённости продукта простой. Средство удалённой поддержки работает с управляемыми машинами напрямую. Его компрометация означает доступ к этим машинам, а через них - путь к перемещению внутри сети. Именно поэтому инъекция команд здесь весомее, чем та же ошибка в прикладном сервисе.
Исправление доступно. SolarWinds выпустила Dameware 2026.3.1 и рекомендует обновиться как можно раньше. Обходных мер вендор не приводит. Администраторам полезно провести инвентаризацию установок и найти те, что остались на 2026.3 или более старых сборках. Если автообновление отключено, патч ставят вручную, а до установки доступ к средству удалённой поддержки ограничивают доверенными сетями.
Проверить стоит и права учётных записей, через которые работают операторы. Лишние привилегии лучше снять. Журналы тоже пригодятся: неожиданные команды и процессы, связанные с удалённой поддержкой, заслуживают разбора. Эти меры дополняют патч, но не заменяют его.
Отдельно нужно помнить о соседних продуктах. Исправления для Serv-U и Web Help Desk относятся к другим версиям и другим классам ошибок. Они не закрывают дыру в Dameware, поэтому версии каждого продукта SolarWinds отслеживают по отдельности.
Ссылки
