CVE-2014-5005
WysokieStreszczenie
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w akcji LFU do statusUpdate.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do systemu i wykonać nieautoryzowane operacje, co może prowadzić do poważnych naruszeń bezpieczeństwa danych.
Rekomendacja
Zaleca się aktualizację ZOHO ManageEngine Desktop Central do wersji 9 build 90055 lub nowszej, aby usunąć tę podatność.
Inne podatności w ZOHO ManageEngine Desktop Central
Zobacz wszystkie- CVE-2014-5006Wysokie
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central (DC) przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w mdm/mdmLogUploader.
- CVE-2021-44515KrytyczneAktywnie exploitowane
Zoho ManageEngine Desktop Central jest podatny na obejście uwierzytelniania, co prowadzi do zdalnego wykonania kodu na serwerze; luka była wykorzystywana w atakach w grudniu 2021. Dla wersji Enterprise 10.1.2127.17 i starszych należy zaktualizować do 10.1.2127.18; dla wersji Enterprise od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3; dla wersji MSP 10.1.2127.17 i starszych – do 10.1.2127.18; dla wersji MSP od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3.
- CVE-2020-10189KrytyczneAktywnie exploitowane
Zoho ManageEngine Desktop Central przed wersją 10.0.474 pozwala na zdalne wykonanie kodu z powodu deserializacji niezaufanych danych w metodzie getChartImage klasy FileStorage. Jest to związane z serwletami CewolfServlet i MDMLogUploaderServlet.
- CVE-2017-11346Krytyczne
Zoho ManageEngine Desktop Central przed wersją 100092 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesyłanie filmów pomocy technicznej.
- CVE-2017-7213Krytyczne
Zoho ManageEngine Desktop Central przed wersją 100082 pozwala zdalnym atakującym na uzyskanie kontroli nad wszystkimi podłączonymi aktywnymi komputerami za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in ZOHO ManageEngine Desktop Central (DC) before 9 build 90055 allows remote attackers to execute arbitrary code via a .. (dot dot) in the fileName parameter in an LFU action to statusUpdate.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS