Podatności Zoho ManageEngine ADSelfService Plus
4 znanych podatności CVE w Zoho ManageEngine ADSelfService Plus, przetłumaczonych i ocenionych.
- CVE-2023-35854Krytyczne
Zoho ManageEngine ADSelfService Plus do wersji 6113 ma lukę umożliwiającą obejście uwierzytelniania, co może prowadzić do kradzieży tokenu sesji kontrolera domeny i podszywania się pod administratora kontrolera domeny.
- CVE-2022-28810ŚrednieAktywnie exploitowane
Zoho ManageEngine ADSelfService Plus przed build 6122 pozwala zdalnemu uwierzytelnionemu administratorowi na wykonanie dowolnych poleceń systemu operacyjnego jako SYSTEM poprzez funkcję niestandardowego skryptu polityki. Ze względu na użycie domyślnego hasła administratora atakujący mogą wykorzystać tę funkcjonalność przy minimalnym wysiłku. Dodatkowo zdalny i częściowo uwierzytelniony atakujący może wstrzyknąć dowolne polecenia do niestandardowego skryptu z powodu nieoczyszczonego pola hasła.
- CVE-2021-40539KrytyczneAktywnie exploitowane
Zoho ManageEngine ADSelfService Plus w wersji 6113 i wcześniejszych jest podatny na obejście uwierzytelniania w API REST, co może prowadzić do zdalnego wykonania kodu.
- CVE-2018-5353Krytyczne
Niestandardowy moduł GINA/CP w Zoho ManageEngine ADSelfService Plus przed wersją 5.5 build 5517 umożliwia zdalnym atakującym wykonanie kodu i eskalację uprawnień poprzez fałszowanie. Moduł nie uwierzytelnia docelowego serwera przed otwarciem okna przeglądarki, co pozwala nieuwierzytelnionemu atakującemu na przekierowanie przeglądarki i uzyskanie wykonania kodu w kontekście procesu WinLogon.exe.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS