Aktywnie wykorzystywana w atakach
Zoho ManageEngine ADSelfService Plus Authentication Bypass Vulnerability
Zoho - ManageEngine · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-40539
KrytyczneCVSS 9.8KEVStreszczenie
Zoho ManageEngine ADSelfService Plus w wersji 6113 i wcześniejszych jest podatny na obejście uwierzytelniania w API REST, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem ADSelfService Plus, co może skutkować naruszeniem poufności i integralności danych oraz dalszym atakiem na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej dostępnej wersji ADSelfService Plus, która zawiera poprawkę na tę podatność.
Inne podatności w Zoho ManageEngine ADSelfService Plus
Zobacz wszystkie- CVE-2023-35854Krytyczne
Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.
- CVE-2022-28810ŚrednieAktywnie exploitowane
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
- CVE-2018-5353Krytyczne
Niestandardowy moduł GINA/CP w Zoho ManageEngine ADSelfService Plus przed wersją 5.5 build 5517 umożliwia zdalnym atakującym wykonanie kodu i eskalację uprawnień poprzez fałszowanie. Moduł nie uwierzytelnia docelowego serwera przed otwarciem okna przeglądarki, co pozwala nieuwierzytelnionemu atakującemu na przekierowanie przeglądarki i uzyskanie wykonania kodu w kontekście procesu WinLogon.exe.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ADSelfService Plus version 6113 and prior is vulnerable to REST API authentication bypass with resultant remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS