PT-2020-8928 · Zoho · Zoho Manageengine Adselfservice Plus
Jason Juntunen
+1
·
Publicado
2020-09-29
·
Atualizado
2020-10-15
·
CVE-2018-5353
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Zoho ManageEngine ADSelfService Plus anteriores à 5.5 build 5517
Descrição
A vulnerabilidade permite que invasores remotos executem código e aumentem seus privilégios por meio de spoofing. O software não autentica o servidor de destino antes de abrir uma janela do navegador. Um invasor não autenticado capaz de realizar um ataque de spoofing pode redirecionar o navegador para obter execução no contexto do processo WinLogon.exe. Se a autenticação no nível da rede não for aplicada, a vulnerabilidade pode ser explorada via RDP. Além disso, se o servidor web tiver um certificado mal configurado, não será necessário um ataque de spoofing.
Recomendações
Para versões anteriores à 5.5 build 5517, atualize para a versão 5.5 build 5517 ou posterior para resolver o problema. Como solução alternativa temporária, considere aplicar a Autenticação em Nível de Rede e garantir que o servidor web tenha um certificado configurado corretamente para minimizar o risco de exploração. Restrinja o acesso ao módulo GINA/CP personalizado para minimizar o risco de exploração até que o problema seja resolvido.
Exploit
Correção
RCE
Authentication Bypass by Spoofing
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Zoho Manageengine Adselfservice Plus