CVE-2015-7766
WysokieStreszczenie
W ZOHO ManageEngine OpManager w wersjach 11.6, 11.5 i wcześniejszych, zdalni administratorzy mogą obejść ograniczenia zapytań SQL poprzez dodanie komentarza w zapytaniu do api/json/admin/SubmitQuery, co zostało zademonstrowane przez 'INSERT/**/INTO'.
Ocena ryzyka
Obejście ograniczeń zapytań SQL może prowadzić do nieautoryzowanego dostępu do danych lub wykonania niebezpiecznych operacji w bazie danych, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację ZOHO ManageEngine OpManager do najnowszej wersji, aby usunąć tę podatność oraz wprowadzenie dodatkowych zabezpieczeń w celu monitorowania i ograniczenia dostępu do krytycznych interfejsów API.
Inne podatności w ZOHO ManageEngine OpManager
Zobacz wszystkie- CVE-2015-7765Wysokie
ZOHO ManageEngine OpManager w wersji 11.5 build 11600 i wcześniejszych używa twardo zakodowanego hasła 'plugin' dla konta IntegrationUser, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp administratora, wykorzystując znajomość tego hasła.
- CVE-2015-9107Krytyczne
Zoho ManageEngine OpManager w wersjach od 11 do 12.2 wykorzystuje niestandardowy algorytm szyfrowania do ochrony poświadczeń dostępu do monitorowanych urządzeń. Algorytm ten nie stosuje klucza specyficznego dla systemu ani soli, co umożliwia stworzenie uniwersalnego dekryptora.
Oryginalny opis (angielski, źródło NVD)
PGSQL:SubmitQuery.do in ZOHO ManageEngine OpManager 11.6, 11.5, and earlier allows remote administrators to bypass SQL query restrictions via a comment in the query to api/json/admin/SubmitQuery, as demonstrated by "INSERT/**/INTO."