CVE-2023-35854
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 91 - wyżej niż 91% wszystkich znanych CVE
Streszczenie
Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.
Ocena ryzyka
Wykorzystanie tej luki może pozwolić atakującemu na uzyskanie uprawnień administratora kontrolera domeny, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Zoho ManageEngine ADSelfService Plus oraz monitorowanie systemów pod kątem nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
Zoho ManageEngine ADSelfService Plus through 6113 has an authentication bypass that can be exploited to steal the domain controller session token for identity spoofing, thereby achieving the privileges of the domain controller administrator. NOTE: the vendor's perspective is that they have "found no evidence or detail of a security vulnerability."