CVE-2026-28326-check

Nicht-destruktiver Patch-Status-Prüfer für SolarWinds ARM CVE-2026-28326, der den gRPC-Listener auf TCP 55555 abfragt, um VULNERABLE, PATCHED oder INCONCLUSIVE zu melden.

Verwendung

Python 3.8+, nur Standardbibliothek — keine Drittanbieter-Pakete.

Führen Sie das Tool gegen den ARM-Server aus, nicht gegen einen Collector. Beide Rollen lauschen auf 55555, aber ein Collector lehnt externe Anfragen vor und nach dem Fix auf dieselbe Weise ab, sodass das Tool ihn als INCONCLUSIVE meldet.

Optionen

Beispiele

Schwachstellenbehafteter Server (Standardausgabe; die [!]-Markierung und VULNERABLE werden auf einem TTY rot angezeigt):

Gepatchter Server. Der gefixte Build gibt eine grpc-message zurück, die das Tool neben dem Urteil ausgibt:

Listener, der nicht klassifiziert werden kann. Ein Collector oder ein Server, der externe Anfragen ablehnt, beantwortet beide Proben auf beiden Builds auf dieselbe Weise:

Mehrere Ziele mit --brief:

JSON-Ausgabe mit --json. Beide Probenergebnisse sind enthalten, damit das Urteil gegen die Rohantworten geprüft werden kann:

Ist die Ausführung sicher?

Die Prüfung ist für den Einsatz gegen Produktionssysteme gedacht:

• Sie verwendet nicht den fest einprogrammierten Schlüssel und präsentiert keine Anmeldeinformation. Sie beobachtet, wie der Server einen anonymen Peer ablehnt, was vom installierten Build abhängt.
• Sie sendet keine Daten an den Deserialisierungspfad. Die Schwachstelle wird durch ein serialisiertes Objekt in einem Remoting/Send-Nachrichtenkörper ausgelöst. Beide Proben senden eine gRPC-Nachricht mit einem Körper der Länge null, und der Interceptor lehnt den Aufruf ab, bevor ein Nachrichtenkörper verarbeitet wird.
• Sie ändert den Serverzustand nicht. Es wird kein Client-Zertifikat, keine Anmeldeinformation und keine Sitzung präsentiert. Die GetCertificate-Probe sendet einen leeren Registrierungscode, den der Server ablehnt, bevor er ausstehende Codes nachschlägt oder entfernt, sodass die Probe keinen Registrierungscode für einen Client verbraucht, der sich mitten in der Registrierung befindet.
• Sie öffnet zwei TCP-Verbindungen pro Ziel, eine pro Probe, und schließt jede nach dem Lesen des Status.

Anfrage- und Log-Footprint

Auf einem ungepatchten Server protokolliert eine abgelehnte anonyme Anfrage auf Debug-Level (Unable to validate remote request token) und eine Informationszeile, die den Peer benennt. Gepatchte Builds protokollieren eine Ablehnung, die den Peer und den oben in der grpc-message zitierten Registrierungshinweis benennt. Kein Build zeichnet eine Sitzung auf.

Um nach Ausnutzung statt nach Exposition zu suchen, prüfen Sie ARMs NetworkConnectionEntry-Datensätze. Ein Eintrag mit IsAuthenticated=false und einem befüllten ClientCertThumbPrint ist konsistent mit der Authentifizierungsumgehung und tritt im normalen Datenverkehr nicht auf.

Funktionsweise

Der Fix änderte, welchen Status der Authentifizierungs-Interceptor an einen Peer zurückgibt, der kein Client-Zertifikat präsentiert. Vor dem Patch setzte jeder Ablehnungspfad in der Client-Zertifikat-Prüfung Unavailable. Nach dem Patch setzt die Localhost-plus-Token-Prüfung Unauthenticated mit einer unverwechselbaren Nachricht, und nichts anderes auf diesem Pfad gibt 16 zurück. Zwei anonyme Aufrufe unterscheiden die Builds:

Das Urteil wird aus Remoting/Send gelesen, weil nur die Duplex-Streaming- und Unary-Handler den Status des Interceptors weitergeben; die Server- und Client-Streaming-Handler überschreiben ihn auf beiden Builds.

Es meldet den Patch-Status, nicht eine Version

Die Prüfung beobachtet das Verhalten des gepatchten Codepfads und stützt sich nicht auf eine Versionszeichenfolge. Sie meldet nicht, welchen Build ein gepatchter Server ausführt.

ALPN ist erforderlich

Der ARM-Listener setzt TLS-Verbindungen zurück, die ALPN h2 nicht aushandeln, daher setzt das Tool es explizit. Ein Scanner, der sich über TLS ohne ALPN verbindet, empfängt keine Daten vom Port.

Interpretation nicht-schwachstellenbehafteter Ergebnisse

VULNERABLE und PATCHED basieren jeweils auf einer beobachteten Serverantwort. INCONCLUSIVE und ERROR bedeuten, dass die Proben das Ziel nicht klassifiziert haben, sein Patch-Status also unbekannt ist. Aus diesem Grund wird INCONCLUSIVE getrennt von PATCHED gemeldet.

Urteile

Jedes Urteil trägt ein kurzes reason-Tag. --brief gibt es als dritte Spalte aus und --json führt es als reason.

Bei allen drei INCONCLUSIVE-Gründen ist der Patch-Status unbekannt. Das Reason-Tag gibt an, was behoben werden muss, bevor die Prüfung erneut ausgeführt wird.

Exit-Codes

Exit-Code 0 umfasst PATCHED, UNAFFECTED und alle drei INCONCLUSIVE-Gründe. Um ein gepatchtes Ziel von einem nicht klassifizierbaren zu unterscheiden, lesen Sie das Urteil (die erste Spalte von --brief oder das verdict-Feld von --json) statt den Exit-Code.

Einschränkungen

• Collector-Rolle: Ein Collector beantwortet beide Proben auf beiden Builds mit 14 und wird als INCONCLUSIVE gemeldet. Dieser Fall wurde gegen einen Mock getestet, der die Antwort reproduziert, nicht gegen einen eingesetzten Collector.
• Header-Parsing: Das Tool sucht nach grpc-status als literales HPACK-Feld und implementiert weder Huffman- noch dynamische Tabellendekodierung. Der C-Kern von gRPC, den ARM verwendet, sendet diese Trailer unkomprimiert. Wenn ein zukünftiger Build sie Huffman-kodiert, meldet das Tool INCONCLUSIVE mit partial-response.
• Umfang: PATCHED gilt nur für diese CVE und gibt nicht den Status anderer ARM-Schwachstellen an.
• Ausnutzung und Kompromittierung: VULNERABLE zeigt an, dass der Fix auf dem von der Probe erreichten Pfad nicht vorhanden ist. Das Tool führt keinen Code auf dem Ziel aus und erkennt keine vorherige Kompromittierung; siehe den NetworkConnectionEntry-Indikator oben.
• Erreichbarkeit: Ergebnisse spiegeln wider, was der Server gegenüber dem Netzwerkstandort exponiert, von dem aus das Tool ausgeführt wird. Bei einer Standardinstallation lauscht TCP 55555 auf allen Schnittstellen, einschließlich IPv6.

Behebung

Aktualisieren Sie auf ARM 2026.2.1.7 oder höher, gemäß den ARM 2026.2.1 Versionshinweisen. Builds 2026.2.0.42 und früher sind betroffen.

Zusätzliche Hinweise:

• Beschränken Sie TCP 55555 auf ARMs eigene Collectors und Clients. Dies begrenzt die Exposition auf Systemen, die nicht sofort gepatcht werden können.
• Der Fix entfernt den Fallback-Authentifizierungspfad; er rotiert den Schlüssel nicht. Da der Schlüssel auf allen Installationen derselbe war, betrachten Sie jeden Zeitraum vor dem Patchen als einen, in dem die Authentifizierung des Listeners von jedem umgangen werden konnte, der ihn erreichen konnte.
• Eine Versionsinventarisierung zeigt, was installiert sein sollte; diese Prüfung zeigt, ob der Fix auf dem Listener wirksam ist.

Lizenz

Dieser Code wird unter einer MIT-Lizenz vertrieben.

Rechtlicher Hinweis

Die Verwendung dieses Tools zum Angriff auf Ziele ohne vorherige gegenseitige Zustimmung ist illegal. Es liegt in der Verantwortung des Endbenutzers, alle geltenden lokalen, staatlichen und bundesstaatlichen Gesetze zu befolgen. Die Entwickler übernehmen keine Haftung und sind nicht verantwortlich für jeglichen Missbrauch oder Schaden, der durch dieses Programm verursacht wird.

Siehe auch

• SolarWinds ARM 2026.2.1 Versionshinweise
• NVD — CVE-2026-28326