SolarWinds Serv-U L Directory Transversal Vulnerability

Falha de directory traversal (CWE-22) na interface web de administração do SolarWinds Serv-U que permite a um atacante não autenticado ler arquivos arbitrários no sistema hospedeiro, incluindo arquivos de configuração e credenciais. Está no catálogo KEV da CISA com exploração confirmada em campo, e a combinação de PoC pública, módulo Metasploit e template Nuclei tornou a explosão de tentativas de exploração praticamente trivial para qualquer servidor exposto à internet.

A vulnerabilidade reside no componente de gerenciamento via HTTP/HTTPS do Serv-U, que expõe funcionalidades de navegação e leitura de arquivos. O parâmetro que define o caminho do arquivo a ser acessado não sanitiza corretamente sequências de travessia de diretório ("../" e variantes), permitindo que um atacante escape do diretório raiz configurado e acesse qualquer arquivo legível pelo processo do Serv-U no sistema operacional subjacente.

O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N) reflete exatamente esse perfil: vetor de rede, sem necessidade de autenticação, sem interação do usuário, complexidade baixa, e impacto restrito à confidencialidade (leitura de arquivo), com mudança de escopo (S:C) porque o atacante afeta recursos fora do componente vulnerável — o sistema de arquivos do host. Não há impacto de integridade ou disponibilidade registrado nesta CVE especificamente, o que a diferencia de outras falhas do Serv-U exploradas em conjunto (como escrita de arquivo ou RCE).

O fornecedor não detalhou publicamente o mecanismo interno de sanitização que falhou nem o endpoint exato, mas confirmou que o problema está na validação de caminho fornecida na requisição HTTP que trata a operação de leitura de arquivo.

A exploração ocorre via requisição HTTP/HTTPS direta ao serviço de gerenciamento do Serv-U, sem necessidade de credenciais válidas — o único pré-requisito real é que a interface web esteja acessível pela rede (o que, para muitas instalações, significa exposição direta à internet). O atacante controla o campo de caminho/arquivo na requisição, manipulando-o para escapar do diretório permitido e apontar para arquivos sensíveis do sistema operacional, como arquivos de configuração do próprio Serv-U (que podem conter hashes de senha) ou arquivos do SO.

A CISA confirmou exploração ativa em campo e a incluiu no catálogo KEV com prazo de correção definido (07/08/2024). A existência de PoC pública, módulo Metasploit e template Nuclei reduz a complexidade de exploração a praticamente zero — qualquer scanner automatizado consegue identificar e explorar instâncias vulneráveis em massa. Não há registro público, nas fontes consultadas, de que essa CVE específica tenha sido usada em campanhas de ransomware, mas ela foi frequentemente citada em conjunto com outras falhas do Serv-U do mesmo período (encadeamento para escrita de arquivo e execução remota de código), o que eleva o risco real além da leitura isolada de arquivo.

A correção definitiva é atualizar para SolarWinds Serv-U 15.4.2 HF 2 ou versão posterior. Todas as versões 15.4.2 HF 1 e anteriores estão vulneráveis, segundo o próprio fornecedor.

Se a atualização imediata não for possível, o próprio advisory do fornecedor orienta usar as informações de comportamento de ataque documentadas para bloquear o padrão de requisição em firewalls externos — ou seja, um WAF/proxy reverso bem configurado pode servir de mitigação temporária ao filtrar sequências de travessia de diretório na URL, mas isso é paliativo e não substitui o patch, já que filtros baseados em assinatura são contornáveis. Restringir o acesso à interface de gerenciamento do Serv-U apenas a redes internas/VPN também reduz drasticamente a superfície de ataque, dado que a exploração exige acesso de rede direto ao serviço.

Não há mitigação por configuração interna do próprio Serv-U documentada pelo fornecedor além da atualização — não existe flag ou parâmetro de configuração citado no advisory que neutralize a falha sem aplicar o hotfix.

Como a exploração ocorre via requisições HTTP/HTTPS ao serviço de gerenciamento do Serv-U, logs de acesso web e logs internos do Serv-U devem ser inspecionados por padrões de travessia de diretório (sequências repetidas de "../", "..\\", ou variantes codificadas) em parâmetros relacionados a caminho ou nome de arquivo, seguidos de respostas HTTP 200 com conteúdo de arquivos fora do escopo esperado (arquivos de sistema, configuração, ou arquivos com extensão incomum para o contexto). Requisições anômalas direcionadas a arquivos como configurações internas do Serv-U ou arquivos típicos de SO (hosts, win.ini, passwd) são indicativos fortes de tentativa de exploração.

A existência de módulo Metasploit e template Nuclei públicos significa que scanners automatizados de terceiros também geram tráfego de teste com esse padrão — presença de tentativas não implica necessariamente comprometimento bem-sucedido, mas qualquer resposta HTTP 200 a essas requisições deve ser tratada como evidência de exposição de dados.