Zoho ManageEngine ADAudit Plus w wersjach do 7250 zawiera podatność SQL Injection w funkcji raportów agregowanych (aggregate report). Luka umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie złośliwych zapytań SQL na bazie danych aplikacji.
▸ Pokaż oryginał (EN)
Zoho ManageEngine ADAudit Plus through 7250 allows SQL Injection in the aggregate report feature.
Podatność wynika z braku odpowiedniej walidacji i sanityzacji danych wejściowych przekazywanych do zapytań SQL w module raportów agregowanych. Atakujący może wstrzyknąć własny kod SQL poprzez sieć, bez konieczności posiadania jakichkolwiek poświadczeń (PR:N, UI:N). Wektor ataku jest sieciowy, a złożoność ataku niska, co czyni exploitację stosunkowo łatwą do przeprowadzenia.
Udana exploitacja może pozwolić atakującemu na nieuprawniony odczyt, modyfikację lub usunięcie danych zgromadzonych w bazie danych aplikacji, w tym potencjalnie wrażliwych danych audytowych Active Directory. W zależności od konfiguracji serwera bazodanowego możliwe jest również przejęcie pełnej kontroli nad systemem.
Należy zaktualizować Zoho ManageEngine ADAudit Plus do wersji 7271 lub nowszej, w której producent wprowadził poprawkę dla opisanej podatności SQL Injection. Szczegóły dostępne pod adresem: https://www.manageengine.com/products/active-directory-audit/sqlfix-7271.html
Zoho ManageEngine ADAudit Plus w wersjach do 7250 włącznie.
Producent opublikował dedykowaną stronę z informacją o poprawce SQL (sqlfix-7271), co potwierdza, że wersja 7271 zawiera łatkę dla tej podatności.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HZohocorp Manageengine Adaudit Plus
APPZohocorp7.2< 7.2
Powiązane podatności
Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code exec...
SQL Injection w Zoho ManageEngine ADAudit Plus — eksport raportów
Cewolf in Zoho ManageEngine ADAudit Plus before 7060 is vulnerable to an unauthenticated XXE attack that leads...
Zoho ManageEngine ADAudit Plus before 7006 allows attackers to write to, and execute, arbitrary files.
An issue was discovered in Zoho ManageEngine Exchange Reporter Plus before build number 5510, AD360 before bui...