Aktywnie wykorzystywana w atakach
Zoho ManageEngine ADSelfService Plus Remote Code Execution Vulnerability
Zoho - ManageEngine · Figuruje w katalogu CISA KEV od 2023-03-07. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-28810
ŚrednieCVSS 6.8KEVStreszczenie
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad systemem poprzez wykonanie poleceń jako SYSTEM, co prowadzi do całkowitego przejęcia serwera. Domyślne hasło administratora dodatkowo zwiększa ryzyko.
Rekomendacja
Zaktualizuj Zoho ManageEngine ADSelfService Plus do build 6122 lub nowszego. Natychmiast zmień domyślne hasła administratora i ogranicz dostęp do interfejsu administracyjnego.
Inne podatności w Zoho ManageEngine ADSelfService Plus
Zobacz wszystkie- CVE-2023-35854Krytyczne
Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.
- CVE-2021-40539KrytyczneAktywnie exploitowane
Zoho ManageEngine ADSelfService Plus w wersji 6113 i wcześniejszych jest podatny na obejście uwierzytelniania w API REST, co może prowadzić do zdalnego wykonania kodu.
- CVE-2018-5353Krytyczne
Niestandardowy moduł GINA/CP w Zoho ManageEngine ADSelfService Plus przed wersją 5.5 build 5517 umożliwia zdalnym atakującym wykonanie kodu i eskalację uprawnień poprzez fałszowanie. Moduł nie uwierzytelnia docelowego serwera przed otwarciem okna przeglądarki, co pozwala nieuwierzytelnionemu atakującemu na przekierowanie przeglądarki i uzyskanie wykonania kodu w kontekście procesu WinLogon.exe.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.