CVE-2025-26399
SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability
Beschreibung
CVE-2025-26399 ist eine KRITISCHE nicht authentifizierte Remote-Code-Execution-Schwachstelle in SolarWinds Web Help Desk mit einem CVSS-3.1-Score von 9.8. Die Schwachstelle befindet sich in der AjaxProxy-Komponente und basiert auf unsicherer Deserialisierung, die einem nicht authentifizierten entfernten Angreifer die Ausführung beliebigen Codes auf dem Server ermöglicht. Bemerkenswert ist, dass diese Schwachstelle ein Patch-Bypass für CVE-2024-28988 darstellt, welche selbst ein Bypass von CVE-2024-28986 war, was auf eine persistente Deserialisierungs-Angriffsfläche in dieser Komponente hinweist. Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, hinzugefügt am 2026-03-09 mit einer Behebungsfrist bis zum 2026-03-12. Mit einem EPSS-Score von 0,288 (28,8%), kombiniert mit der kritischen Schwere und dem nicht authentifizierten Angriffsvektor, erfordert diese Schwachstelle höchste Priorität bei der Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| solarwinds | web help desk | <= 12.8.6; 12.8.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://documentation.solarwinds.com/en/success_center/whd/content/release_notes/whd_12-8-7-hotfix-1_release_notes.htm(Release Notes)
- https://www.solarwinds.com/trust-center/security-advisories/CVE-2025-26399(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-26399(US Government Resource)
- https://www.microsoft.com/en-us/security/blog/2026/02/06/active-exploitation-solarwinds-web-help-desk/(Third Party Advisory)
Schwachstellentyp
CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
CVE-2025-26399 wird unter CWE-502 klassifiziert — Deserialisierung nicht vertrauenswürdiger Daten. Deserialisierungs-Schwachstellen treten auf, wenn eine Anwendung Objekte aus serialisierten Daten rekonstruiert, ohne die Integrität und Sicherheit dieser Daten ausreichend zu überprüfen. Wenn nicht vertrauenswürdige Eingaben deserialisiert werden, kann ein Angreifer bösartige serialisierte Payloads erstellen, die bei der Deserialisierung gefährliche Objekttypen instanziieren, Methodenaufrufe auslösen und letztlich beliebige Code-Ausführung auf dem Server ermöglichen.
Im Kontext von SolarWinds Web Help Desk ist diese Schwachstelle aus mehreren Gründen äußerst besorgniserregend. Erstens befindet sich die Schwachstelle in der AjaxProxy-Komponente und ist ohne Authentifizierung zugänglich, was bedeutet, dass jeder netzwerkerreichbare Angreifer die Deserialisierung bösartiger Payloads auslösen kann. Zweitens handelt es sich um die dritte Iteration im Wesentlichen derselben Schwachstelle — CVE-2024-28986 war der ursprüngliche Fund, CVE-2024-28988 war ein Patch-Bypass und CVE-2025-26399 umgeht die Behebung von CVE-2024-28988. Dieses Muster wiederholter Bypasses deutet auf grundlegende architektonische Probleme in der Verarbeitung serialisierter Daten durch die AjaxProxy-Komponente hin. Java-Deserialisierungs-Schwachstellen verfügen über etablierte Ausnutzungstechniken unter Verwendung von Gadget Chains aus gängigen Bibliotheken.
Auswirkungsanalyse
CVE-2025-26399 hat einen CVSS-3.1-Score von 9.8 (KRITISCH) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Vertraulichkeit (HIGH): Erfolgreiche Ausnutzung gewährt einem Angreifer vollen Zugriff auf den Web Help Desk-Server, einschließlich seiner Datenbank mit Support-Tickets, Benutzer-Zugangsdaten, Konfigurationsdaten und potenziell sensiblen Informationen, die über Help-Desk-Tickets eingereicht wurden. Das Dateisystem des Servers, Umgebungsvariablen und alle erreichbaren Netzwerkressourcen sind ebenfalls exponiert.
Integrität (HIGH): Beliebige Code-Ausführung ermöglicht dem Angreifer die Modifikation aller Daten auf dem Server, die Installation von Backdoors, die Manipulation von Help-Desk-Einträgen, die Veränderung von Benutzerkonten und den Einsatz persistenter Zugriffsmechanismen.
Verfügbarkeit (HIGH): Vollständige Kontrolle über den Server ermöglicht dem Angreifer, den Web Help Desk-Dienst herunterzufahren, Daten zu verschlüsseln oder zu zerstören oder Systemressourcen zu verbrauchen. Da Web Help Desk ein IT-Service-Management-Tool ist, kann seine Störung sich auf den gesamten IT-Betrieb auswirken.
Die extrem kurze KEV-Behebungsfrist von nur 3 Tagen (2026-03-09 bis 2026-03-12) unterstreicht die Dringlichkeit zusätzlich.
Exploit-Reifegrad
Exploit-Status: CVE-2025-26399 wird aktiv in der Praxis ausgenutzt und ist seit dem 2026-03-09 im CISA Known Exploited Vulnerabilities Katalog gelistet. Die extrem kurze KEV-Behebungsfrist (3 Tage) zeigt, dass die CISA die Bedrohung als unmittelbar bewertet hat. Die Vorgänger-Schwachstellen (CVE-2024-28986 und CVE-2024-28988) hatten gut dokumentierte Ausnutzung, und die Bypass-Natur von CVE-2025-26399 bedeutet, dass bestehendes Exploit-Tooling mit minimalem Aufwand angepasst werden konnte. Java-Deserialisierungs-Exploits profitieren von ausgereiftem Tooling wie ysoserial und ähnlichen Gadget-Chain-Generatoren.
Ransomware-Bezug: SolarWinds Web Help Desk war ein wiederholt angegriffenes Ziel. Deserialisierungs-RCE-Schwachstellen in internetexponierten IT-Management-Tools sind erstklassige Ziele für Ransomware-Betreiber, da sie sofortigen privilegierten Zugang zu IT-zentraler Infrastruktur bieten.
Angriffsfläche: Jede internetexponierte SolarWinds Web Help Desk-Instanz mit einer verwundbaren Version ist gefährdet. Die nicht authentifizierte Natur bedeutet, dass keine Zugangsdaten benötigt werden. Die Geschichte wiederholter Patch-Bypasses bedeutet, dass Organisationen, die frühere Fixes angewendet haben, aber nicht den neuesten Patch, weiterhin verwundbar bleiben.
KEV-Frist: Die CISA hat eine ungewöhnlich aggressive Behebungsfrist bis zum 2026-03-12 festgelegt, nur 3 Tage nach dem KEV-Listungsdatum. Dieser komprimierte Zeitrahmen signalisiert aktive, weitverbreitete Ausnutzung, die eine Notfallreaktion erfordert.
Behebung
- Neuesten SolarWinds Web Help Desk-Patch sofort anwenden. Dies ist ein Notfall-Update. Angesichts der nicht authentifizierten RCE-Natur und der extrem kurzen KEV-Frist sollte dieser Patch als Break-Fix-Bereitstellung behandelt werden. Verifizieren Sie, dass der Patch speziell CVE-2025-26399 adressiert und nicht nur das frühere CVE-2024-28988.
- Patch-Level auf alle drei verwandten CVEs überprüfen. Aufgrund der Kette von Patch-Bypasses (CVE-2024-28986, CVE-2024-28988, CVE-2025-26399) stellen Sie sicher, dass Ihre installierte Version den neuesten Bypass adressiert. Frühere Patches sind unzureichend.
- Netzwerkzugang zu Web Help Desk einschränken. Falls noch nicht implementiert, schränken Sie sofort den Zugang zur Web Help Desk-Anwendung aus dem öffentlichen Internet ein. Platzieren Sie sie hinter einem VPN, einer Firewall oder einem Reverse Proxy mit IP-Allowlisting.
- Sofortige Kompromittierungsbewertung durchführen. Angesichts der bestätigten aktiven Ausnutzung und der nicht authentifizierten Natur gehen Sie von einer potenziellen Kompromittierung aus, bis das Gegenteil verifiziert ist. Prüfen Sie auf unautorisierte Prozesse, unerwartete Netzwerkverbindungen und verdächtige Logeinträge.
- Alle Zugangsdaten auf und vom Server rotieren. Dies umfasst Datenbank-Zugangsdaten, Service-Account-Passwörter, API-Schlüssel und alle in der Anwendung oder ihren Konfigurationsdateien gespeicherten Zugangsdaten.
- Anwendungsebene-Monitoring implementieren. Setzen Sie erweitertes Logging und Monitoring auf dem Web Help Desk-Server ein, mit Fokus auf den AjaxProxy-Endpunkt, Deserialisierungsaktivität und ungewöhnliche Prozesserstellung.
Technische Details
CVE-2025-26399 ist eine KRITISCHE nicht authentifizierte Deserialisierungs-Remote-Code-Execution-Schwachstelle in SolarWinds Web Help Desk. Die Schwachstelle ist ohne Authentifizierung aus der Ferne über das Netzwerk mit niedriger Angriffskomplexität ausnutzbar.
Technischer Mechanismus: Die AjaxProxy-Komponente in SolarWinds Web Help Desk verarbeitet serialisierte Java-Objekte aus eingehenden HTTP-Anfragen ohne ausreichende Validierung. Ein Angreifer kann einen bösartigen serialisierten Payload erstellen, der eine Gadget Chain enthält — eine Sequenz bestehender Java-Klassen-Methodenaufrufe, die bei der Deserialisierung letztlich vom Angreifer kontrollierte Befehle ausführen. Dies ist die dritte Instanz dieses fundamentalen Problems: CVE-2024-28986 war die ursprüngliche Entdeckung, CVE-2024-28988 umging den initialen Fix (wahrscheinlich durch alternative Gadget Chains oder Serialisierungs-Einstiegspunkte), und CVE-2025-26399 umgeht den zweiten Fix. Das wiederholte Bypass-Muster deutet darauf hin, dass die Fixes spezifische Gadget Chains oder Payload-Signaturen adressierten, anstatt die Grundursache der nicht vertrauenswürdigen Deserialisierung im AjaxProxy zu eliminieren.
CVSS-3.1-Vektoranalyse (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Der Netzwerk-Angriffsvektor bestätigt die Remote-Erreichbarkeit des AjaxProxy-Endpunkts. Niedrige Komplexität zeigt zuverlässige Ausnutzung. Keine Privilegien oder Benutzerinteraktion sind erforderlich. Alle drei Auswirkungsmetriken sind HIGH, was eine vollständige Serverkompromittierung widerspiegelt.
Patch-Bypass-Kontext: Die Progression von CVE-2024-28986 zu CVE-2024-28988 zu CVE-2025-26399 demonstriert die Schwierigkeit, Deserialisierungs-Endpunkte nachträglich abzusichern. Eine umfassende Behebung würde wahrscheinlich die vollständige Eliminierung der Java-nativen Deserialisierung aus der AjaxProxy-Komponente erfordern.
Häufig gestellte Fragen
Was ist CVE-2025-26399?
CVE-2025-26399 ist eine KRITISCHE (CVSS 9.8) nicht authentifizierte Remote-Code-Execution-Schwachstelle in SolarWinds Web Help Desk. Sie nutzt unsichere Deserialisierung in der AjaxProxy-Komponente aus und ist ein Patch-Bypass für sowohl CVE-2024-28988 als auch CVE-2024-28986. Sie wird aktiv ausgenutzt und ist im CISA KEV-Katalog mit einer ungewöhnlich kurzen 3-Tage-Behebungsfrist gelistet.
Wie hängt CVE-2025-26399 mit CVE-2024-28988 und CVE-2024-28986 zusammen?
Alle drei CVEs zielen auf denselben fundamentalen Deserialisierungsfehler in der AjaxProxy-Komponente. CVE-2024-28986 war die ursprüngliche Schwachstelle, CVE-2024-28988 war ein Bypass ihres Fixes, und CVE-2025-26399 ist ein Bypass des CVE-2024-28988-Fixes. Organisationen müssen sicherstellen, dass sie den neuesten Patch haben, der speziell CVE-2025-26399 adressiert.
Wie behebe ich CVE-2025-26399?
Wenden Sie den neuesten SolarWinds Web Help Desk-Patch sofort an — dies sollte als Notfall-Bereitstellung behandelt werden. Verifizieren Sie, dass Ihr Patch-Level speziell CVE-2025-26399 adressiert. Beschränken Sie zusätzlich den Netzwerkzugang, führen Sie eine Kompromittierungsbewertung durch und rotieren Sie alle vom Server erreichbaren Zugangsdaten.
Wie schwerwiegend ist CVE-2025-26399?
CVE-2025-26399 ist mit einem CVSS-Score von 9.8 als KRITISCH eingestuft und hat einen EPSS-Score von 28,8%. Sie erfordert keine Authentifizierung, hat niedrige Angriffskomplexität und ermöglicht vollständige Remote-Code-Execution. Die CISA hat eine ungewöhnlich aggressive 3-Tage-Behebungsfrist (2026-03-12) festgelegt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.