PT-2020-15837 · Zoho Manageengine · Adselfservice Plus+10

Florian Hauser · Publicado 2020-08-31 · Atualizado 2020-09-10 · CVE-2020-24786

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Zoho ManageEngine Exchange Reporter Plus anteriores ao número de compilação 5510

Versões do Zoho ManageEngine AD360 anteriores ao número de compilação 4228

Versões do Zoho ManageEngine ADSelfService Plus anteriores ao número de compilação 5817

Versões do Zoho ManageEngine DataSecurity Plus anteriores ao número de compilação 6033

Versões do Zoho ManageEngine RecoverManager Plus anteriores ao número de compilação 6017

Versões do Zoho ManageEngine EventLog Analyzer anteriores ao número de compilação 12136

Versões do Zoho ManageEngine ADAudit Plus anteriores ao número de compilação 6052

Versões do Zoho ManageEngine O365 Manager Plus anteriores ao número de compilação 4334

Versões do Zoho ManageEngine Cloud Security Plus anteriores ao número de compilação 4110

Versões do Zoho ManageEngine ADManager Plus anteriores ao número de compilação 7055

Versões do Zoho ManageEngine Log360 anteriores ao número de compilação 5166

Descrição

Foi detectada uma vulnerabilidade nos produtos Zoho ManageEngine especificados. O servlet Java acessível remotamente com.manageengine.ads.fw.servlet.UpdateProductDetails está sujeito a um desvio de autenticação. Isso permite que as propriedades de integração do sistema sejam modificadas, podendo levar ao comprometimento total do pacote ManageEngine.

Recomendações

Para versões do Zoho ManageEngine Exchange Reporter Plus anteriores à compilação 5510, atualize para a compilação 5510 ou posterior.

Para versões do Zoho ManageEngine AD360 anteriores à compilação 4228, atualize para a compilação 4228 ou posterior.

Para versões do Zoho ManageEngine ADSelfService Plus anteriores à compilação 5817, atualize para a compilação

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2020-24786

Produtos afetados

Ad360

Adaudit Plus

Admanager Plus

Adselfservice Plus

Cloud Security Plus

Datasecurity Plus

Eventlog Analyzer

Exchange Reporter Plus

Log360

O365 Manager Plus

Recovermanager Plus

Referências · 14

• https://pitstop.manageengine.com/portal/en/community/topic/how-to-fix-the-unauthenticated-product-integration-vulnerability · Aviso do Fabricante
• https://medium.com/%40frycos/another-zoho-manageengine-story-7b472f1515f5 · Nota
• https://pitstop.manageengine.com/portal/en/community/topic/admanager-plus-fixes-and-enhancements · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/community/topic/how-to-fix-the-unauthenticated-product-integration-vulnerability-18-5-2020 · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/kb/articles/manageengine-cloud-security-plus-security-advisory-regarding-unauthenticated-product-integration-vulnerability · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/community/topic/how-to-fix-the-unauthenticated-product-integration-vulnerability-17-5-2020 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-24786 · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/community/topic/how-to-identify-and-mitigate-the-unauthenticated-product-integration-vulnerability-15-5-2020-1 · Aviso do Fabricante
• https://manageengine.com/products/eventlog/features-new.html · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-24786 · Nota de Segurança
• https://pitstop.manageengine.com/portal/en/community/topic/how-to-identify-and-mitigate-the-unauthenticated-product-integration-vulnerability · Aviso do Fabricante
• https://manageengine.com/data-security/release-notes.html · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/kb/articles/manageengine-log360-security-advisory-regarding-unauthenticated-product-integration-vulnerability · Aviso do Fabricante
• https://pitstop.manageengine.com/portal/en/community/topic/how-to-identify-and-mitigate-the-unauthenticated-product-integration-vulnerability-18-5-2020 · Aviso do Fabricante