Aktywnie wykorzystywana w atakach
Zoho Desktop Central Authentication Bypass Vulnerability
Zoho - Desktop Central · Figuruje w katalogu CISA KEV od 2021-12-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-44515
KrytyczneCVSS 9.8KEVStreszczenie
Zoho ManageEngine Desktop Central jest podatny na obejście uwierzytelniania, co prowadzi do zdalnego wykonania kodu na serwerze; luka była wykorzystywana w atakach w grudniu 2021. Dla wersji Enterprise 10.1.2127.17 i starszych należy zaktualizować do 10.1.2127.18; dla wersji Enterprise od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3; dla wersji MSP 10.1.2127.17 i starszych – do 10.1.2127.18; dla wersji MSP od 10.1.2128.0 do 10.1.2137.2 – do 10.1.2137.3.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze bez uwierzytelnienia, co prowadzi do pełnego przejęcia systemu i potencjalnego rozprzestrzenienia się w sieci. Luka jest aktywnie wykorzystywana, co zwiększa ryzyko.
Rekomendacja
Natychmiast zaktualizuj Zoho ManageEngine Desktop Central do zalecanej wersji w zależności od posiadanej edycji (Enterprise lub MSP). Jeśli aktualizacja nie jest możliwa, odizoluj serwer od internetu i monitoruj podejrzaną aktywność.
Inne podatności w Zoho ManageEngine Desktop Central
Zobacz wszystkie- CVE-2014-5006Wysokie
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central (DC) przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w mdm/mdmLogUploader.
- CVE-2014-5005Wysokie
Podatność typu directory traversal w ZOHO ManageEngine Desktop Central przed wersją 9 build 90055 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie parametru fileName z sekwencją .. (kropka kropka) w akcji LFU do statusUpdate.
- CVE-2020-10189KrytyczneAktywnie exploitowane
Zoho ManageEngine Desktop Central przed wersją 10.0.474 pozwala na zdalne wykonanie kodu z powodu deserializacji niezaufanych danych w metodzie getChartImage klasy FileStorage. Jest to związane z serwletami CewolfServlet i MDMLogUploaderServlet.
- CVE-2017-11346Krytyczne
Zoho ManageEngine Desktop Central przed wersją 100092 pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez przesyłanie filmów pomocy technicznej.
- CVE-2017-7213Krytyczne
Zoho ManageEngine Desktop Central przed wersją 100082 pozwala zdalnym atakującym na uzyskanie kontroli nad wszystkimi podłączonymi aktywnymi komputerami za pomocą nieokreślonych wektorów.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine Desktop Central is vulnerable to authentication bypass, leading to remote code execution on the server, as exploited in the wild in December 2021. For Enterprise builds 10.1.2127.17 and earlier, upgrade to 10.1.2127.18. For Enterprise builds 10.1.2128.0 through 10.1.2137.2, upgrade to 10.1.2137.3. For MSP builds 10.1.2127.17 and earlier, upgrade to 10.1.2127.18. For MSP builds 10.1.2128.0 through 10.1.2137.2, upgrade to 10.1.2137.3.