PT-2021-17328 · Zoho · Zoho Manageengine Adselfservice Plus

Publicado 2021-02-19 · Atualizado 2022-07-12 · CVE-2021-27214

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

**Nome do software vulnerável e versões afetadas:

Zoho ManageEngine ADSelfService Plus, versões até a 6013

Descrição:

Uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF) no servlet ProductConfig permite que um invasor remoto não autenticado execute solicitações HTTP cegas ou realize um ataque de script entre sites (XSS) contra a interface administrativa por meio de uma solicitação HTTP.

Recomendações:

Para versões até a 6013, considere restringir o acesso ao servlet ProductConfig para minimizar o risco de exploração. Como solução temporária, limite a capacidade de realizar solicitações HTTP a partir da interface administrativa até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SSRF

XSS

Enumeração de Fraquezas

CWE-918

CWE-79

Identificadores relacionados

CVE-2021-27214

Produtos afetados

Zoho Manageengine Adselfservice Plus

Referências · 6

• 🔥 https://horizonsecurity.it/lang_EN/advisories/?a=20&title=ManageEngine+ADSelfService+Plus+privilege+escalation++CVE202127214 · Exploit
• https://osv.dev/vulnerability/CVE-2021-27214 · Aviso do Fabricante
• https://t.me/cibsecurity/23886 · Publicação no Telegram
• https://manageengine.com/products/self-service-password/release-notes.html · Aviso do Fabricante
• https://t.me/cvenotify/10178 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-27214 · Nota de Segurança