Zoho ManageEngine ADSelfService Plus Remote Code Execution Vulnerability

CheckOps-Prioritätsindex

6,6/10 Binnen 7 Tagen patchen

Schweregrad6,8

Wahrscheinlichkeit7,1

Ausnutzung3/5

Schweregrad = CVSS. Wahrscheinlichkeit = EPSS (FIRST). Ausnutzung = öffentliche Signale: KEV, EUVD, Ransomware, EPSS über 10 %, ohne Konto.

EPSS · heute 71,0 % höher als 99,4 % aller CVE

CVSS 3.1 6,8 AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:

Ausgenutzt seit 1.337 Tagen 07.03.2023

CISA-Frist 28.03.2023 für US-Bundesbehörden

Ausnutzungswahrscheinlichkeit EPSS · FIRST

EPSS-Wahrscheinlichkeit (%)Perzentil unter allen CVE

Ausnutzungssignale 3 / 5

KEV-Katalog (CISA)07.03.2023
In der EUVD ausgenutzt (ENISA)07.03.2023
Von Ransomware genutztnein
EPSS über 10 %71,0 %
Ohne Konto, über das Netznein

Was tun

Beheben

Den Patch des Herstellers einspielen, sobald er verfügbar ist.

Vorgabe der CISA: Apply updates per vendor instructions.

Bis dahin

Den Dienst vom Internet nehmen oder den Zugriff einschränken, Protokolle überwachen und nach Kompromittierungsspuren suchen.

Hersteller (CRA)

Ausgenutzte Schwachstelle in Ihrem Produkt: Frühwarnung an die ENISA binnen 24 h, dann Meldung binnen 72 h (Artikel 14 des Cyber Resilience Act). Der CRA erklärt

Beschreibung ENISA EUVD

Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.

Text der Quelle, auf Englisch.

Betroffene Produkte

ManageEngine

Schwächen (CWE)

CWE-78 CWE-259

Open-Source-Pakete OSV

Betroffene Bibliotheken laut OSV, mit behobenen Versionen.

Zeitverlauf

18.04.2022
Veröffentlichung
07.03.2023
Ausnutzung gemeldet (ENISA)
07.03.2023
Aufnahme in den KEV-Katalog
28.03.2023
CISA-Frist zur Behebung
26.09.2026
EPSS-Höchstwert: 71,0 %

Referenzen

Weitere ausgenutzte Schwachstellen desselben Herstellers

CVE-2022-47966Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability
9,9 · Dauerhaft ausgenutzt
CVE-2022-35405Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability
9,3 · Dauerhaft ausgenutzt
CVE-2021-44515Zoho Desktop Central Authentication Bypass Vulnerability
9,3 · Dauerhaft ausgenutzt
CVE-2021-44077Zoho ManageEngine ServiceDesk Plus Remote Code Execution Vulnerability
9,1 · Dauerhaft ausgenutzt
CVE-2021-37415Zoho ManageEngine ServiceDesk Authentication Bypass Vulnerability
9,3 · Dauerhaft ausgenutzt
CVE-2021-40539Zoho ManageEngine ADSelfService Plus Authentication Bypass Vulnerability
9,9 · Dauerhaft ausgenutzt