PT-2020-2203 · Zoho · Zoho Manageengine Desktop Central

Steven Seeley · CVE-2020-10189 · Publicado 2020-03-06 · Atualizado 2026-04-06

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Zoho ManageEngine Desktop Central anteriores à 10.0.474

Descrição

O problema está relacionado à desserialização de dados não confiáveis no método getChartImage da classe FileStorage, que está associada aos servlets CewolfServlet e MDMLogUploaderServlet. Isso permite a execução remota de código.

Recomendações

Para versões anteriores à 10.0.474, atualize para a versão 10.0.474 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos servlets CewolfServlet e MDMLogUploaderServlet até que um patch seja aplicado. Além disso, evite usar o método getChartImage na classe FileStorage até que o problema seja resolvido.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2020-02110

CVE-2020-10189

Produtos afetados

Zoho Manageengine Desktop Central

Referências · 23

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/http/desktopcentral_deserialization.rb · Exploit
• 🔥 http://packetstormsecurity.com/files/156730/ManageEngine-Desktop-Central-Java-Deserialization.html · Exploit
• 🔥 https://srcincite.io/advisories/src-2020-0011 · Exploit
• 🔥 https://srcincite.io/pocs/src-2020-0011.py.txt · Exploit
• 🔥 https://exploit-db.com/exploits/48224 · Exploit
• https://xakep.ru/2020/04/24/web-shells · Nota
• https://cwe.mitre.org/data/definitions/502.html · Nota
• https://osv.dev/vulnerability/CVE-2020-10189 · Aviso do Fabricante
• https://twitter.com/DeusLogica/status/2040990750888849662 · Publicação no Twitter
• https://t.me/true_secator/3125 · Publicação no Telegram
• https://t.me/aptreports/26549 · Publicação no Telegram
• https://t.me/malwr/3927 · Publicação no Telegram
• https://t.me/cvenotify/109986 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-10189 · Nota de Segurança
• https://t.me/malwr/3006 · Publicação no Telegram