• ひとことでSolarWinds Web Help Desk で、サーバー上で命令を実行されるおそれがある弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることWeb Help Desk の今の版を調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-28986
製品SolarWinds Web Help Desk
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2024-08-15
米国政府機関の対応期限2024-09-05
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-502（信頼できないデータのデシリアライズ）

何が起きた

問い合わせ管理のソフト SolarWinds Web Help Desk に、外から受け取ったデータを安全に確かめないまま元の形に戻してしまう弱点（デシリアライズの問題）が見つかりました。悪用されると、攻撃者がサーバー上で命令を実行できるおそれがあります。NVD に登録された SolarWinds の評価ではネットワーク経由でログインなしに悪用できるとされていますが、SolarWinds は、ログインなしの攻撃としての報告を受けたものの、試験ではログインなしでは再現できなかったと説明しています。実際に悪用されたことが確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したデータを用意する → 2. Web Help Desk にそのデータを送る → 3. 確かめないまま元の形に戻される → 4. サーバー上で命令が実行される1攻撃者が細工したデータを用意する2Web Help Desk にそのデータを送る3確かめないまま元の形に戻される4サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者が細工したデータを用意する → 2. Web Help Desk にそのデータを送る → 3. 確かめないまま元の形に戻される → 4. サーバー上で命令が実行される1攻撃者が細工したデータを用意する2Web Help Desk にそのデータを送る3確かめないまま元の形に戻される4サーバー上で命令が実行される攻撃の流れ: 1. 攻撃者が細工したデータを用意する → 2. Web Help Desk にそのデータを送る → 3. 確かめないまま元の形に戻される → 4. サーバー上で命令が実行される1攻撃者が細工したデータを用意する2Web Help Desk にそのデータを送る3確かめないまま元の形に戻される4サーバー上で命令が実行される

誰が影響を受ける

SolarWinds Web Help Desk 12.8.3 とそれより前のすべての版を使っている組織が対象です。

何をすればいい

SolarWinds は、念のためすべての Web Help Desk の利用者に修正プログラムを当てるようすすめています。修正版の SolarWinds Web Help Desk 12.8.3 HF 1 が当たっているか確認してください。必ず公式の案内を確認してください。

やることチェックリスト

  • Web Help Desk の今の版を調べる
  • 12.8.3 HF 1 の修正プログラムを当てる
  • すべての Web Help Desk に修正を当てる

用語メモ

デシリアライズ 用語集で見る
保存や通信のために並べ直したデータを、プログラムで使える元の形に戻す処理です。中身を確かめずに戻すと危険な命令が動くことがあります。
HF
ホットフィックスの略で、特定の問題を急いで直すための修正プログラムです。

次に読む

同じ製品・メーカーの脆弱性SolarWinds Web Help Desk（CVE-2025-26399）9.8 緊急CVSS v3.1SolarWinds Web Help Deskで、外から命令を実行されるおそれがある弱点です。同じ製品・メーカーの脆弱性SolarWinds Web Help Desk（CVE-2025-40536）9.8 緊急CVSS v3.1SolarWinds Web Help Desk で、ログインなしに制限された機能を使われる弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability

概要

SolarWinds Web Help Desk contains a deserialization of untrusted data vulnerability that could allow for remote code execution.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る