CVE-2025-40552 и CVE-2025-40553 SolarWinds Web Help Desk: цепочка Pre-Auth RCE

Инструмент генерации детектирующих артефактов для цепочки Pre-Auth RCE в SolarWinds Web Help Desk

Описание

Этот генератор детектирующих артефактов проверяет, уязвим ли экземпляр SolarWinds Web Help Desk к CVE-2025-40552 и CVE-2025-40553.

Генератор детектирующих артефактов пытается выполнить две операции:

Обход аутентификации с помощью CVE-2025-40552 — эта проверка очень точная.
Если это удалось, он пытается проверить RCE через CVE-2025-40553, выполняя команду cmd.exe /c whoami — эта проверка не является точной на 100%, поскольку основана на сообщениях об ошибках, которые могут различаться в зависимости от окружения.

ВНИМАНИЕ — во время тестирования RCE скрипт создаст таблицу SWWHDDAG<random_8_characters> в базе данных postgres.

После теста вы можете проверить, присутствует ли вывод команды в базе данных:

> SELECT * FROM public.swwhddagmm2t6t79

"output"
"nt authoritysystem"

Детектирование в действии

Тест на уязвимом экземпляре:

$ python3 watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py -H https://vulnerable.lab:8443
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py
        (*) CVE-2025-40552 + CVE-2025-40553 Pre-Auth RCE Chain in SolarWinds Web Help Desk - Detection Artifact Generator

          - Piotr Bazydlo (@chudyPB) of watchTowr 

        CVEs: CVE-2025-40552 and CVE-2025-40553

[+] Testing CVE-2025-40552 Authentication Bypass
        [+] Triggering error and poisoning context cache with LookAndFeelPref
[+] VULNERABLE to CVE-2025-40552 Authentication Bypass
[+] Testing CVE-2025-40553 RCE
        [+] This stage will create SWWHDDAGp08zwfs6 DB table if successful
        [+] Verifying deserialization and serialization of org.apache.commons.dbcp2.BasicDataSource
[+] PROBABLY VULNERABLE: Connection validated and SQL queries can be executed
        [+] Executing "cmd.exe /c whoami" - verify locally if it worked

Тест на неуязвимом экземпляре:

$ python3 watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py -H https://notvulnerable.lab:8443
                         __         ___  ___________                   
         __  _  ______ _/  |__ ____ |  |_\__    ____\____  _  ________ 
         \ \/ \/ \__  \    ___/ ___\|  |  \|    | /  _ \ \/ \/ \_  __ \
          \     / / __ \|  | \  \___|   Y  |    |(  <_> \     / |  | \/
           \/\_/ (____  |__|  \___  |___|__|__  | \__  / \/\_/  |__|   
                                  \/          \/     \/                            
          
        watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553.py
        (*) CVE-2025-40552 + CVE-2025-40553 Pre-Auth RCE Chain in SolarWinds Web Help Desk - Detection Artifact Generator

          - Piotr Bazydlo (@chudyPB) of watchTowr 

        CVEs: CVE-2025-40552 and CVE-2025-40553

[+] Testing CVE-2025-40552 Authentication Bypass
        [+] Triggering error and poisoning context cache with LookAndFeelPref
[-] NOT VULNERABLE to CVE-2025-40552, exiting

Затронутые версии

< SolarWinds Web Help Desk 2026.1

Ссылки: https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_2026-1_release_notes.htm

Следите за watchTowr Labs

За последними исследованиями в области безопасности следуйте за командой watchTowr Labs

watchTowr-vs-SolarWinds-WebHelpDesk-CVE-2025-40552-CVE-2025-40553

Популярное

CVE-2025-40552 и CVE-2025-40553 SolarWinds Web Help Desk: цепочка Pre-Auth RCE

Описание

Детектирование в действии

Затронутые версии

Следите за watchTowr Labs