Aktywnie wykorzystywana w atakach
Zoho ManageEngine ADSelfService Plus Authentication Bypass Vulnerability
Zoho - ManageEngine · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-40539
KrytyczneCVSS 9.8KEVStreszczenie
Zoho ManageEngine ADSelfService Plus w wersji 6113 i wcześniejszych jest podatny na obejście uwierzytelniania w API REST, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem ADSelfService Plus, co może skutkować naruszeniem poufności i integralności danych oraz dalszym atakiem na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej dostępnej wersji ADSelfService Plus, która zawiera poprawkę na tę podatność.
Inne podatności w Zoho ManageEngine ADSelfService Plus
Zobacz wszystkie- CVE-2023-35854Krytyczne
Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.
- CVE-2018-5353Krytyczne
Niestandardowy moduł GINA/CP w Zoho ManageEngine ADSelfService Plus przed wersją 5.5 build 5517 umożliwia zdalnym atakującym wykonanie kodu i eskalację uprawnień poprzez fałszowanie. Moduł nie uwierzytelnia docelowego serwera przed otwarciem okna przeglądarki, co pozwala nieuwierzytelnionemu atakującemu na przekierowanie przeglądarki i uzyskanie wykonania kodu w kontekście procesu WinLogon.exe.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ADSelfService Plus version 6113 and prior is vulnerable to REST API authentication bypass with resultant remote code execution.