CVE-2021-44526

Auth Bypass w Zoho ManageEngine ServiceDesk Plus (przed wersją 12003)

CVSS 9.8v3.1pub. 2021-12-23upd. 2024-11-21

Zoho ManageEngine ServiceDesk Plus w wersjach wcześniejszych niż 12003 zawiera podatność umożliwiającą obejście uwierzytelnienia (auth bypass) w określonych konfiguracjach administracyjnych. Podatność otrzymała ocenę CVSS 9.8 (CRITICAL), co czyni ją poważnym zagrożeniem dla systemów help desk.

▸ Pokaż oryginał (EN)

Zoho ManageEngine ServiceDesk Plus before 12003 allows authentication bypass in certain admin configurations.

🤖 Analiza AI

Jak działa

Podatność pozwala nieuwierzytelnionemu atakującemu zdalnie ominąć mechanizmy werzytelnienia w określonych konfiguracjach administracyjnych systemu. Ze względu na brak szczegółowych informacji technicznych w oficjalnym opisie (CWE oznaczone jako NVD-CWE-noinfo), dokładny mechanizm techniczny nie jest publicznie znany. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika, co oznacza pełną możliwość eksploatacji zdalnej.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do systemu z pominięciem mechanizmów uwierzytelnienia, co potencjalnie prowadzi do pełnego przejęcia kontroli nad aplikacją, ujawnienia poufnych danych oraz modyfikacji konfiguracji systemu.

Mitygacja

Należy jak najszybciej zaktualizować Zoho ManageEngine ServiceDesk Plus do wersji 12003 lub nowszej. Szczegółowe informacje o patchu dostępne są w oficjalnych notatkach producenta pod adresem: https://www.manageengine.com/products/service-desk/on-premises/readme.html#12003