SolarWinds Observability Self-Hosted до версии 2026.4 содержит уязвимость нарушения схемы авторизации с идентификатором CVE-2026-28328. Базовая оценка по CVSS 3.1 составляет 8.8. Учётная запись с низкими привилегиями получает доступ к сведениям за пределами выданных прав и может изменять их. Затронуты сборки 2026.2.3 и более ранние.
Оценка 8.8 и сетевой вектор CVE-2026-28328
Схема авторизации - набор правил, которые определяют, какие объекты доступны конкретной учётной записи. В SolarWinds Observability Self-Hosted проверка этих правил выполняется неполно. Поэтому пользователь с минимальными правами обращается к записям других пользователей и меняет их. Ограничение прав при этом сохраняется только в интерфейсе, тогда как серверная часть запрос не отклоняет.
Вектор CVSS:8.8/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H описывает условия эксплуатации. Атака идёт по сети, сложность низкая, требуются действующие учётные данные низкого уровня, взаимодействие с пользователем не нужно. Высокие значения по конфиденциальности, целостности и доступности означают полный доступ к объектам в границах уязвимого компонента. Единый уровень безопасности S:U указывает, что воздействие не выходит за пределы платформы.
Платформа наблюдаемости оперирует метриками, журналами и параметрами мониторинга. Чтение этих данных раскрывает состав инфраструктуры и режимы её работы. Изменение искажает показатели, на которые опираются при разборе сбоев. Кроме того, правка конфигурации меняет поведение самой системы мониторинга, поэтому последствия сохраняются после закрытия сеанса нарушителя.
Исправление вышло в версии SolarWinds Observability Self-Hosted 2026.4. Обновление закрывает проверку прав на серверной стороне. Администраторам нужно сверить текущую сборку с отметкой 2026.4 и установить более новую. Если обновление отложено, доступ к платформе ограничивают кругом доверенных учётных записей и сокращают число ролей с правом записи.
Сведений об эксплуатации CVE-2026-28328 в реальных атаках вендор не приводит. Сетевой вектор и низкая сложность делают уязвимость пригодной для массовых проверок, однако обязательное наличие учётной записи сужает круг потенциальных целей. Учётные данные низкого уровня часто выдаются подрядчикам и службам мониторинга, поэтому такие записи стоит проверить в первую очередь.
Уязвимость относится к классу нарушений контроля доступа, которые встречаются в продуктах SolarWinds регулярно. В отличие от ошибок переполнения буфера, здесь не нужны ни специальные инструменты, ни редкие условия: достаточно штатного клиента и любой действующей учётной записи. Оценка 8.8 при сетевом векторе ставит CVE-2026-28328 в число задач, которые закрывают в обычном цикле управления исправлениями, но без длительной паузы.
Сократить экспозицию помогает изоляция интерфейса платформы от общих сетей. Доступ по сети нужен только администраторам и системам сбора данных, остальным он не требуется. Проверка журналов обращений к объектам других пользователей показывает, были ли попытки выйти за пределы прав. Признаком служит чтение или изменение записей, не принадлежащих учётной записи, из которой выполнен вход.
Ссылки
