CVE-2026-28326-check

Verificador não destrutivo de estado de patch para SolarWinds ARM CVE-2026-28326 que sonda o listener gRPC na porta TCP 55555 para reportar VULNERABLE, PATCHED ou INCONCLUSIVE.

Uso

Python 3.8+, apenas biblioteca padrão — sem pacotes de terceiros.

Execute a ferramenta contra o servidor ARM em vez de um coletor. Ambos os papéis escutam na 55555, mas um coletor recusa requisições externas da mesma forma antes e depois da correção, então a ferramenta o reporta como INCONCLUSIVE.

Opções

Exemplos

Servidor vulnerável (saída padrão; o marcador [!] e VULNERABLE são exibidos em vermelho em um TTY):

Servidor corrigido. O build corrigido retorna um grpc-message, que a ferramenta imprime junto com o veredito:

Listener que não pode ser classificado. Um coletor, ou um servidor que recusa requisições externas, responde ambas as sondas da mesma forma em qualquer build:

Múltiplos alvos com --brief:

Saída JSON com --json. Ambos os resultados das sondas são incluídos para que o veredito possa ser verificado contra as respostas brutas:

É Seguro Executar?

A verificação destina-se ao uso contra sistemas de produção:

• Ela não usa a chave hardcoded nem apresenta qualquer credencial. Ela observa como o servidor rejeita um par anônimo, o que depende do build instalado.
• Ela não envia dados para o caminho de desserialização. A vulnerabilidade é acionada por um objeto serializado no corpo de uma mensagem Remoting/Send. Ambas as sondas enviam uma mensagem gRPC com corpo de comprimento zero, e o interceptor rejeita a chamada antes que qualquer corpo de mensagem seja despachado.
• Ela não altera o estado do servidor. Nenhum certificado de cliente, credencial ou sessão é apresentado. A sonda GetCertificate envia um código de inscrição vazio, que o servidor rejeita antes de procurar ou remover quaisquer códigos pendentes, então a sonda não consome um código de inscrição para um cliente que está em meio ao registro.
• Ela abre duas conexões TCP por alvo, uma por sonda, e fecha cada uma após ler o status.

Pegada de requisições e logs

Em um servidor não corrigido, uma requisição anônima rejeitada é registrada em nível de debug (Unable to validate remote request token) e uma linha informativa nomeando o par. Builds corrigidos registram uma rejeição nomeando o par e a dica de registro citada no grpc-message acima. Nenhum dos builds registra uma sessão.

Para procurar exploração em vez de exposição, revise os registros NetworkConnectionEntry do ARM. Uma entrada com IsAuthenticated=false e um ClientCertThumbPrint preenchido é consistente com a contorno de autenticação e não ocorre em tráfego normal.

Como Funciona

A correção alterou qual status o interceptor de autenticação retorna a um par que não apresenta certificado de cliente. Antes da correção, todo caminho de rejeição na verificação de certificado de cliente definia Unavailable. Após a correção, a verificação de localhost mais token define Unauthenticated com uma mensagem distintiva, e nada mais nesse caminho retorna 16. Duas chamadas anônimas distinguem os builds:

O veredito é lido de Remoting/Send porque apenas os handlers de duplex-streaming e unary propagam o status do interceptor; os handlers de server- e client-streaming o sobrescrevem em ambos os builds.

Ele reporta o estado do patch, não uma versão

A verificação observa o comportamento do caminho de código corrigido e não depende de uma string de versão. Ela não reporta qual build um servidor corrigido está executando.

ALPN é obrigatório

O listener do ARM reinicia conexões TLS que não negociam ALPN h2, então a ferramenta o define explicitamente. Um scanner que se conecta via TLS sem ALPN não recebe dados da porta.

Interpretando resultados não vulneráveis

VULNERABLE e PATCHED baseiam-se cada um em uma resposta observada do servidor. INCONCLUSIVE e ERROR significam que as sondas não classificaram o alvo, então seu estado de patch é desconhecido. Por esse motivo INCONCLUSIVE é reportado separadamente de PATCHED.

Vereditos

Cada veredito carrega uma tag reason curta. --brief a imprime como a terceira coluna e --json a carrega como reason.

Para todos os três motivos de INCONCLUSIVE o estado de patch é desconhecido. A tag de motivo indica o que abordar antes de executar a verificação novamente.

Códigos de saída

O código de saída 0 cobre PATCHED, UNAFFECTED e todos os três motivos de INCONCLUSIVE. Para distinguir um alvo corrigido de um que não pôde ser classificado, leia o veredito (a primeira coluna de --brief ou o campo verdict de --json) em vez do código de saída.

Limitações

• Papel de coletor: um coletor responde ambas as sondas com 14 em qualquer build e é reportado como INCONCLUSIVE. Este caso foi testado contra um mock que reproduz a resposta, não contra um coletor implantado.
• Análise de cabeçalhos: a ferramenta procura por grpc-status como um campo HPACK literal e não implementa decodificação Huffman ou de tabela dinâmica. O núcleo C do gRPC, que o ARM usa, envia esses trailers descomprimidos. Se um build futuro os codificar em Huffman, a ferramenta reporta INCONCLUSIVE com partial-response.
• Escopo: PATCHED aplica-se apenas a este CVE e não indica o status de outras vulnerabilidades do ARM.
• Exploração e comprometimento: VULNERABLE indica que a correção não está presente no caminho que a sonda alcançou. A ferramenta não executa código no alvo e não detecta comprometimento prévio; consulte o indicador NetworkConnectionEntry acima.
• Alcance: os resultados refletem o que o servidor expõe para a localização de rede de onde a ferramenta é executada. Em uma instalação padrão, a TCP 55555 escuta em todas as interfaces, incluindo IPv6.

Remediação

Atualize para o ARM 2026.2.1.7 ou posterior, conforme as notas de versão do ARM 2026.2.1. Os builds 2026.2.0.42 e anteriores são afetados.

Notas adicionais:

• Restrinja a TCP 55555 aos próprios coletores e clientes do ARM. Isso limita a exposição em sistemas que não podem ser corrigidos imediatamente.
• A correção remove o caminho de autenticação de fallback; ela não rotaciona a chave. Como a chave era a mesma em todas as instalações, trate qualquer período antes da correção como um em que a autenticação do listener poderia ser contornada por qualquer pessoa capaz de alcançá-lo.
• Um inventário de versões mostra o que deveria estar instalado; esta verificação mostra se a correção está em vigor no listener.

Licença

Este código é distribuído sob uma licença MIT.

Aviso Legal

O uso desta ferramenta para atacar alvos sem consentimento mútuo prévio é ilegal. É responsabilidade do usuário final obedecer a todas as leis locais, estaduais e federais aplicáveis. Os desenvolvedores não assumem qualquer responsabilidade e não são responsáveis por qualquer uso indevido ou dano causado por este programa.

Veja Também

• Notas de versão do SolarWinds ARM 2026.2.1
• NVD — CVE-2026-28326