CVE-2026-28326-check

Verificatore non distruttivo dello stato delle patch per SolarWinds ARM CVE-2026-28326 che sonda il listener gRPC su TCP 55555 per segnalare VULNERABLE, PATCHED o INCONCLUSIVE.

Utilizzo

Python 3.8+, solo libreria standard — nessun pacchetto di terze parti.

Eseguire lo strumento contro il server ARM anziché contro un collector. Entrambi i ruoli ascoltano sulla 55555, ma un collector rifiuta le richieste esterne allo stesso modo prima e dopo la correzione, quindi lo strumento lo segnala come INCONCLUSIVE.

Opzioni

Esempi

Server vulnerabile (output predefinito; il marcatore [!] e VULNERABLE sono mostrati in rosso su un TTY):

Server corretto. La build corretta restituisce un grpc-message, che lo strumento stampa insieme al verdetto:

Listener che non può essere classificato. Un collector, o un server che rifiuta le richieste esterne, risponde a entrambe le sonde allo stesso modo su entrambe le build:

Target multipli con --brief:

Output JSON con --json. Sono inclusi i risultati di entrambe le sonde, così il verdetto può essere verificato rispetto alle risposte grezze:

È sicuro eseguirlo?

Il controllo è pensato per l'uso su sistemi di produzione:

• Non utilizza la chiave hardcoded né presenta alcuna credenziale. Osserva come il server rifiuta un peer anonimo, cosa che dipende dalla build installata.
• Non invia dati al percorso di deserializzazione. La vulnerabilità viene attivata da un oggetto serializzato nel corpo di un messaggio Remoting/Send. Entrambe le sonde inviano un messaggio gRPC con corpo di lunghezza zero, e l'intercettore rifiuta la chiamata prima che qualsiasi corpo del messaggio venga inoltrato.
• Non modifica lo stato del server. Non viene presentato alcun certificato client, credenziale o sessione. La sonda GetCertificate invia un codice di registrazione vuoto, che il server rifiuta prima di cercare o rimuovere qualsiasi codice in sospeso, quindi la sonda non consuma un codice di registrazione per un client che è in fase di registrazione.
• Apre due connessioni TCP per target, una per sonda, e chiude ciascuna dopo aver letto lo stato.

Impronta di richieste e log

Su un server non aggiornato una richiesta anonima rifiutata viene registrata a livello debug (Unable to validate remote request token) e una riga informativa che nomina il peer. Le build corrette registrano un rifiuto che nomina il peer e il suggerimento di registrazione citato nel grpc-message sopra. Nessuna delle due build registra una sessione.

Per cercare lo sfruttamento anziché l'esposizione, esaminare i record NetworkConnectionEntry di ARM. Una voce con IsAuthenticated=false e un ClientCertThumbPrint popolato è coerente con il bypass dell'autenticazione e non si verifica nel traffico normale.

Come funziona

La correzione ha cambiato quale stato l'intercettore di autenticazione restituisce a un peer che non presenta alcun certificato client. Prima della patch, ogni percorso di rifiuto nel controllo del certificato client impostava Unavailable. Dopo la patch, il controllo localhost-più-token imposta Unauthenticated con un messaggio distintivo, e nient'altro su quel percorso restituisce 16. Due chiamate anonime distinguono le build:

Il verdetto viene letto da Remoting/Send perché solo gli handler duplex-streaming e unary propagano lo stato dell'intercettore; gli handler server- e client-streaming lo sovrascrivono su entrambe le build.

Segnala lo stato della patch, non una versione

Il controllo osserva il comportamento del percorso di codice corretto e non si basa su una stringa di versione. Non segnala quale build stia eseguendo un server corretto.

ALPN è necessario

Il listener ARM reimposta le connessioni TLS che non negoziano ALPN h2, quindi lo strumento lo imposta esplicitamente. Uno scanner che si connette tramite TLS senza ALPN non riceve dati dalla porta.

Interpretazione dei risultati non vulnerabili

VULNERABLE e PATCHED si basano ciascuno su una risposta osservata del server. INCONCLUSIVE e ERROR significano che le sonde non hanno classificato il target, quindi il suo stato di patch è sconosciuto. Per questo motivo INCONCLUSIVE viene segnalato separatamente da PATCHED.

Verdetti

Ogni verdetto porta un breve tag reason. --brief lo stampa come terza colonna e --json lo riporta come reason.

Per tutti e tre i motivi di INCONCLUSIVE lo stato della patch è sconosciuto. Il tag reason indica cosa affrontare prima di eseguire nuovamente il controllo.

Codici di uscita

Il codice di uscita 0 copre PATCHED, UNAFFECTED e tutti e tre i motivi di INCONCLUSIVE. Per distinguere un target corretto da uno che non è stato possibile classificare, leggere il verdetto (la prima colonna di --brief o il campo verdict di --json) anziché il codice di uscita.

Limitazioni

• Ruolo collector: un collector risponde a entrambe le sonde con 14 su entrambe le build ed è segnalato come INCONCLUSIVE. Questo caso è stato testato contro un mock che riproduce la risposta, non contro un collector distribuito.
• Analisi degli header: lo strumento cerca grpc-status come campo HPACK letterale e non implementa la decodifica Huffman o della tabella dinamica. Il core C di gRPC, che ARM utilizza, invia questi trailer non compressi. Se una build futura li codificasse con Huffman, lo strumento segnalerebbe INCONCLUSIVE con partial-response.
• Ambito: PATCHED si applica solo a questa CVE e non indica lo stato di altre vulnerabilità di ARM.
• Sfruttamento e compromissione: VULNERABLE indica che la correzione non è presente sul percorso che la sonda ha raggiunto. Lo strumento non esegue codice sul target e non rileva compromissioni precedenti; vedere l'indicatore NetworkConnectionEntry sopra.
• Raggiungibilità: i risultati riflettono ciò che il server espone alla posizione di rete da cui viene eseguito lo strumento. Su un'installazione predefinita TCP 55555 ascolta su tutte le interfacce, incluso IPv6.

Remediation

Aggiornare ad ARM 2026.2.1.7 o successivo, secondo le note di rilascio di ARM 2026.2.1. Le build 2026.2.0.42 e precedenti sono interessate.

Note aggiuntive:

• Limitare TCP 55555 ai soli collector e client di ARM. Questo limita l'esposizione sui sistemi che non possono essere aggiornati immediatamente.
• La correzione rimuove il percorso di autenticazione di fallback; non ruota la chiave. Poiché la chiave era la stessa su tutte le installazioni, considerare qualsiasi periodo precedente all'applicazione della patch come uno in cui l'autenticazione del listener poteva essere aggirata da chiunque fosse in grado di raggiungerlo.
• Un inventario delle versioni mostra cosa dovrebbe essere installato; questo controllo mostra se la correzione è in vigore sul listener.

Licenza

Questo codice è distribuito sotto una licenza MIT.

Disclaimer legale

L'uso di questo strumento per attaccare target senza previo consenso reciproco è illegale. È responsabilità dell'utente finale rispettare tutte le leggi locali, statali e federali applicabili. Gli sviluppatori non si assumono alcuna responsabilità e non sono responsabili per qualsiasi uso improprio o danno causato da questo programma.

Vedi anche

• Note di rilascio di SolarWinds ARM 2026.2.1
• NVD — CVE-2026-28326