Aktywnie wykorzystywana w atakach
Zoho ManageEngine ServiceDesk Authentication Bypass Vulnerability
Zoho - ManageEngine ServiceDesk Plus (SDP) · Figuruje w katalogu CISA KEV od 2021-12-01. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-37415
KrytyczneCVSS 9.8KEVStreszczenie
Zoho ManageEngine ServiceDesk Plus przed wersją 11302 jest podatny na obejście uwierzytelniania, które pozwala na dostęp do niektórych adresów URL API REST bez uwierzytelnienia.
Ocena ryzyka
Nieautoryzowany użytkownik może uzyskać dostęp do wrażliwych funkcji API, co może prowadzić do wycieku danych lub nieautoryzowanych zmian w systemie.
Rekomendacja
Należy zaktualizować ServiceDesk Plus do wersji 11302 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w Zoho ManageEngine ServiceDesk Plus
Zobacz wszystkie- CVE-2016-4889Wysokie
ZOHO ManageEngine ServiceDesk Plus w wersjach przed 9.0 pozwala zdalnym, uwierzytelnionym użytkownikom gości na wykorzystanie braku ograniczeń dostępu do nieznanych funkcji, co może prowadzić do nieokreślonego wpływu.
- CVE-2021-44077KrytyczneAktywnie exploitowane
Zoho ManageEngine ServiceDesk Plus przed 11306, ServiceDesk Plus MSP przed 10530 oraz SupportCenter Plus przed 11014 są podatne na nieuwierzytelnione zdalne wykonanie kodu. Luka jest związana z adresami URL /RestAPI w servlecie oraz ImportTechnicians w konfiguracji Struts.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ServiceDesk Plus before 11302 is vulnerable to authentication bypass that allows a few REST-API URLs without authentication.