SolarWinds Web Help Desk: Update bessert umgehbare Authentifizierung aus
SolarWinds schließt mehrere Sicherheitslücken in Web Help Desk (WHD). Eine gilt sogar als kritisch. Admins sollten die aktualisierte Software zeitnah anwenden.
In den Release-Notes zu Web Help Desk 2026.2.1 führt SolarWinds auch auf, welche Sicherheitslecks das Update stopft. Die schwerwiegendste Lücke betrifft die Single-Sign-On-Anmeldung. Sofern SAML-2.0-Authentifizierung aktiviert ist, können Angreifer auf nicht weiter präzisierte Art und Weise die Authentifizierung umgehen (CVE-2026-28323, CVSS 9.8, Risiko „kritisch“). Eine weitere Schwachstelle ermöglicht Angreifern, Web Help Desk abstürzen zu lassen, eine Denial-of-Service-Lücke (CVE-2026-28299, CVSS 8.2, Risiko „hoch“). Auch hier nennt das Unternehmen keinerlei Details, lediglich, dass der Absturz aufgrund zu wenig Speicher erfolge.
Die Autoren der Release-Notes listen außerdem Dritthersteller-Komponenten auf, die in der Version aktualisiert wurden, um Sicherheitslücken zu schließen. Gleich mehrere Schwachstellen bessert das aktualisierte pgAdmin4 aus, eine gilt als kritisches Risiko, fünf weitere noch als hochriskant.
Zügig aktualisieren
Admins sollten ihre Instanzen aufgrund des Schweregrads der Lücken zeitnah auf den aktuellen Stand bringen. Allerdings sollten sie dabei einige Änderungen berücksichtigen, die SolarWinds einführt und die in einigen Umgebungen problematisch sein können. So steht die Web-Help-Desk-REST-API nicht mehr zur Verfügung. CentOS 6 und 7 werden nicht mehr unterstützt, macOS nur noch ab Version 13. Da Microsoft das Exchange-Web-Services-Protokoll als veraltet ausmustert, setzt WHD nun auf die Graph-API von Microsoft. Servlet-Authentifizierung steht nicht mehr zur Verfügung. Admins sollten sich die Hinweise in der Übersicht von SolarWinds vor dem Update genau anschauen.
Zuletzt hatte SolarWinds Anfang Juni Schwachstellen in Web Help Desk ausgebessert. Angreifer hätten die unter anderem dazu missbrauchen können, die Software lahmzulegen.
(dmk)