CVE-2022-28810
Orta CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 6.8
- EPSS
- 71.0%
- CWE
- CWE-78
- KEV Durumu
- Evet
Yayım tarihi: 18 Nisan 2022 · CISA KEV son iyileştirme tarihi: 28 Mart 2023
Etkilenen: zohocorp manageengine_adselfservice_plus
Zoho ManageEngine ADSelfService Plus, 6122 derisine kadar, uzaktan kimlik doğrulama yapılmış bir yöneticinin, ilke özel betik özelliği aracılığıyla SYSTEM olarak keyfi işletim sistemi komutlarını çalıştırmasına izin verir. Varsayılan bir yönetici parolasının kullanılması nedeniyle saldırganlar bu işlevselliği minimal çaba ile istismar edebileceklerdir. Ayrıca, bir uzaktan ve kısmen kimlik doğrulama yapılmış saldırgan, şifre alanının sanitasyon edilmemesi nedeniyle özel betiğe keyfi komutlar enjekte edebilecektir.
Orijinal açıklama (İngilizce)
Zoho ManageEngine ADSelfService Plus before build 6122 allows a remote authenticated administrator to execute arbitrary operating OS commands as SYSTEM via the policy custom script feature. Due to the use of a default administrator password, attackers may be able to abuse this functionality with minimal effort. Additionally, a remote and partially authenticated attacker may be able to inject arbitrary commands into the custom script due to an unsanitized password field.
Referanslar
- http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html
- https://github.com/rapid7/metasploit-framework/pull/16475
- https://www.manageengine.com/products/self-service-password/kb/cve-2022-28810.html
- https://www.rapid7.com/blog/post/2022/04/14/cve-2022-28810-manageengine-adselfservice-plus-authenticated-command-execution-fixed/
- http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html
- https://github.com/rapid7/metasploit-framework/pull/16475
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.