Zoho · Zoho Manageengine Adselfservice Plus · CVE-2018-5353
**Nome do software vulnerável e versões afetadas**
Versões do Zoho ManageEngine ADSelfService Plus anteriores à 5.5 build 5517
**Descrição**
A vulnerabilidade permite que invasores remotos executem código e aumentem seus privilégios por meio de spoofing. O software não autentica o servidor de destino antes de abrir uma janela do navegador. Um invasor não autenticado capaz de realizar um ataque de spoofing pode redirecionar o navegador para obter execução no contexto do processo WinLogon.exe. Se a autenticação no nível da rede não for aplicada, a vulnerabilidade pode ser explorada via RDP. Além disso, se o servidor web tiver um certificado mal configurado, não será necessário um ataque de spoofing.
**Recomendações**
Para versões anteriores à 5.5 build 5517, atualize para a versão 5.5 build 5517 ou posterior para resolver o problema. Como solução alternativa temporária, considere aplicar a Autenticação em Nível de Rede e garantir que o servidor web tenha um certificado configurado corretamente para minimizar o risco de exploração. Restrinja o acesso ao módulo GINA/CP personalizado para minimizar o risco de exploração até que o problema seja resolvido.