CVE-2015-9107
KrytyczneStreszczenie
Zoho ManageEngine OpManager w wersjach od 11 do 12.2 wykorzystuje niestandardowy algorytm szyfrowania do ochrony poświadczeń dostępu do monitorowanych urządzeń. Algorytm ten nie stosuje klucza specyficznego dla systemu ani soli, co umożliwia stworzenie uniwersalnego dekryptora.
Ocena ryzyka
Brak odpowiedniego zabezpieczenia poświadczeń może prowadzić do nieautoryzowanego dostępu do monitorowanych urządzeń, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji oprogramowania, która poprawia mechanizmy szyfrowania oraz wprowadza lepsze praktyki zabezpieczeń.
Inne podatności w Zoho ManageEngine OpManager
Zobacz wszystkie- CVE-2015-7766Wysokie
W ZOHO ManageEngine OpManager w wersjach 11.6, 11.5 i wcześniejszych, zdalni administratorzy mogą obejść ograniczenia zapytań SQL poprzez dodanie komentarza w zapytaniu do api/json/admin/SubmitQuery, co zostało zademonstrowane przez 'INSERT/**/INTO'.
- CVE-2015-7765Wysokie
ZOHO ManageEngine OpManager w wersji 11.5 build 11600 i wcześniejszych używa twardo zakodowanego hasła 'plugin' dla konta IntegrationUser, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać dostęp administratora, wykorzystując znajomość tego hasła.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine OpManager 11 through 12.2 uses a custom encryption algorithm to protect the credential used to access the monitored devices. The implemented algorithm doesn't use a per-system key or even a salt; therefore, it's possible to create a universal decryptor.