CISA warnt vor aktiver Ausnutzung von SolarWinds Serv-U

Die US-Behörde CISA hat eine Sicherheitslücke in SolarWinds Serv-U in ihren KEV-Katalog aufgenommen. Der Fehler ermöglicht Denial-of-Service-Angriffe.

Die US-amerikanische Cyber- und Infrastatursicherheitsbehörde CISA hat eine schwerwiegende Sicherheitslücke in der Multi-Protokoll-Dateiserver-Software Serv-U von SolarWinds in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Die Behörde reagiert damit auf Erkenntnisse über eine aktive Ausnutzung der Schwachstelle im Internet. Der Fehler wird unter der Kennung CVE-2026-28318 geführt und weist einen CVSS-Risikowert von 7.5 auf. Es handelt sich um eine Schwachstelle durch unkontrollierten Ressourcenverbrauch, die zu einem Denial-of-Service-Zustand (DoS) führt. CISA hat zivile Bundesbehörden der USA dazu angewiesen, die Sicherheitslücke bis zum 19. Juni 2026 zu schließen.

Denial-of-Service-Fehler bei SolarWinds Serv-U

Die Sicherheitslücke ermöglicht es Angreifern, den betroffenen Dienst ohne vorherige Authentifizierung gezielt zum Absturz zu bringen. Der Hersteller SolarWinds erklärte dazu in einer offiziellen Sicherheitsmitteilung: „SolarWinds Serv-U ist anfällig für speziell gestaltete POST-Anfragen, die den Serv-U-Dienst ohne Authentifizierung unter Verwendung von Content-Encoding: deflate abstürzen lassen.“ Bislang wurden keine genauen Details darüber veröffentlicht, wie die Angriffe in der Praxis ablaufen oder welche spezifischen Akteure für die Ausnutzung verantwortlich sind. Es ist zudem unklar, wie viele über das Internet erreichbare Serv-U-Instanzen bereits kompromittiert wurden. In der Vergangenheit wurden wiederholt Sicherheitslücken in Serv-U von böswilligen Akteuren ausgenutzt, darunter auch Gruppen, die mit der Cl0p-Ransomware-Bande in Verbindung gebracht werden.

Verfügbare Software-Updates und temporäre Schutzmaßnahmen

Der Hersteller hat das Problem analysiert und ein entsprechendes Sicherheitsupdate bereitgestellt. Die Schwachstelle wurde in der Version Serv-U 15.5.4 HF1 vollständig behoben. Für Systeme, auf denen das Update nicht sofort eingespielt werden kann, empfiehlt das Unternehmen temporäre Maßnahmen zur Risikominimierung:

• Der Netzwerkzugriff sollte streng auf bekannte und vertrauenswürdige IP-Adressen beschränkt werden.
• Alle eingehenden Netzwerkanfragen, die ein Content-Encoding-Feld im Header enthalten, sollten blockiert werden, da der anfällige Dienst diese Funktionalität für den regulären Betrieb nicht benötigt.

(red)