Zoho ManageEngine ADAudit Plus w wersjach do 7250 zawiera podatność SQL Injection w funkcji raportów agregowanych (aggregate report). Luka umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL na bazie danych aplikacji.
▸ Pokaż oryginał (EN)
Zoho ManageEngine ADAudit Plus through 7250 allows SQL Injection in the aggregate report feature.
Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do zapytań SQL w module raportów agregowanych. Atakujący może wstrzyknąć własny kod SQL poprzez sieć, bez konieczności posiadania jakichkolwiek poświadczeń (PR:N, UI:N). Wektor ataku jest sieciowy, a złożoność ataku niska, co czyni exploitację stosunkowo łatwą do przeprowadzenia.
Udana exploitacja może pozwolić atakującemu na nieuprawniony odczyt, modyfikację lub usunięcie danych zgromadzonych w bazie danych aplikacji, w tym potencjalnie wrażliwych danych audytowych Active Directory. W zależności od konfiguracji serwera bazodanowego możliwe jest również przejęcie pełnej kontroli nad systemem.
Należy zaktualizować Zoho ManageEngine ADAudit Plus do wersji 7271 lub nowszej, w której producent wprowadził poprawkę dla opisanej podatności SQL Injection. Szczegóły dostępne pod adresem: https://www.manageengine.com/products/active-directory-audit/sqlfix-7271.html
Zoho ManageEngine ADAudit Plus w wersjach do 7250 włącznie.
Producent opublikował dedykowaną stronę z informacją o poprawce SQL (sqlfix-7271), co potwierdza, że wersja 7271 zawiera łatkę dla tej podatności.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HZohocorp Manageengine Adaudit Plus
APPZohocorp7.2< 7.2
Powiązane podatności
RCE w wielu produktach Zoho ManageEngine przez podatną bibliotekę Apache Santuario xmlsec
SQL Injection w Zoho ManageEngine ADAudit Plus — eksport raportów
Nieuwierzytelnione XXE prowadzące do RCE w Zoho ManageEngine ADAudit Plus
RCE w Zoho ManageEngine ADAudit Plus — zapis i wykonanie dowolnych plików
Authentication bypass w wielu produktach Zoho ManageEngine