PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
SolarWinds ARM: quem autoriza o que a integração muda no diretório?
Uma ferramenta que revisa permissões também usa permissões para operar. Verifique quem pode solicitar mudanças e qual autoridade a integração recebe para executá-las.
Por Pentesty
O alerta tem produto, versão e escopo próprios
Em 17 de setembro de 2026, a SolarWinds publicou a CVE-2026-28326: execução remota sem autenticação no Access Rights Manager, associada a uma chave estática no produto. O aviso lista ARM 2026.2 e versões anteriores; a correção está no ARM 2026.2.1. O vetor publicado é AV:A, com adjacência de rede. Essas fontes não demonstram invasão de um ambiente específico nem comprometimento automático de todo o diretório. A análise abaixo propõe uma revisão autorizada de integrações.
Desenhe a operação além da tela de permissões
Imagine um analista autorizado a consultar acessos de uma equipe. A aplicação pode atender o pedido usando uma identidade técnica com alcance diferente. O inventário precisa mostrar essa relação, incluindo consultas e mudanças. Identifique a autoridade do processo que responde.
Escolha uma operação e acompanhe solicitante, contas utilizadas e recurso de destino. Registre quem mantém a configuração e quem aprova, revisa e retira acessos quando o serviço muda.
Associe cada permissão à função que precisa dela
A documentação de requisitos do ARM distingue permissões por funcionalidade, incluindo leitura e alteração no Active Directory e delegação por unidades organizacionais. Consulte a orientação correspondente à implantação e confronte-a com as contas configuradas. Planeje mudanças compatíveis com o suporte, o impacto operacional e o retorno necessário.
A proposta é montar um mapa de operações permitidas, recursos alcançados e responsáveis pela aprovação. Uma conta técnica pode precisar escrever em uma área específica; isso não responde se qualquer solicitante pode iniciar essa escrita. A análise do JadePuffer e da autoridade de exclusão ajuda a formular perguntas sobre alcance efetivo. O produto e o mecanismo são diferentes.
Teste a aprovação com objetos fictícios
Prepare um ambiente autorizado com recursos de teste para a fronteira escolhida. Combine contas, mudanças reversíveis, janela e critérios de interrupção com quem administra o diretório. Confira o caminho permitido e a negativa esperada usando objetos fictícios, sem explorar a CVE.
Defina como reconhecer o efeito no destino. Uma mensagem de sucesso pode confirmar apenas o recebimento. Preserve identificadores para comparar solicitação, decisão e estado observado, com registros limitados ao necessário.
- Solicitante: uma identidade de consulta recebe o resultado autorizado e não consegue iniciar uma mudança fora de sua função.
- Destino: uma operação aprovada alcança somente os objetos fictícios incluídos no escopo, respeitando a fronteira combinada.
- Execução: a alteração observada pode ser relacionada à conta técnica, ao pedido aprovado e ao momento do exercício.
- Encerramento: os objetos retornam ao estado previsto e os acessos temporários são retirados com confirmação do responsável.
Deixe a decisão rastreável até o recurso
O relatório deve identificar a operação, as identidades, o conjunto de objetos e a configuração avaliados. Registre perguntas dependentes de terceiros e áreas que ficaram fora do exercício. A conclusão deve permitir que outro responsável entenda por que aquela operação foi aceita e qual evidência sustenta seu alcance.
Repita os casos pertinentes quando mudar conta de serviço, delegação, integração ou função do usuário. Comece por uma operação crítica e amplie a revisão conforme esclarecer as dependências. A entrega mostra quem podia pedir, o que recebeu aprovação e qual efeito foi confirmado no diretório.
Perguntas frequentes
A falha comprova comprometimento de todo Active Directory?
O aviso descreve uma vulnerabilidade no ARM. O alcance em um ambiente depende da implantação e das permissões presentes; uma conclusão sobre comprometimento exige evidências próprias.
Uma conta de serviço dedicada já está suficientemente limitada?
A dedicação facilita identificar sua finalidade, mas ainda é necessário conferir operações, recursos e delegações. Associe cada permissão à função e à orientação de suporte aplicável.
Como testar sem alterar contas reais?
Use identidades e objetos fictícios em ambiente autorizado, com mudanças reversíveis e retorno acordado. Compare a operação permitida com a tentativa que deve ser negada.
O teste de aprovação dispensa atualizar o ARM?
São entregas distintas. A manutenção deve seguir a orientação do fabricante, e a avaliação de autoridade precisa demonstrar quais pedidos e efeitos foram permitidos no escopo testado.
Fontes e referências
- SolarWinds: aviso CVE-2026-28326
- SolarWinds: notas do ARM 2026.2.1
- SolarWinds: requisitos e permissões das contas ARM
Análise original da Pentesty, publicada em 16 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.