PT-2022-15810 · Zoho · Manageengine Appmanager15

Oscar · Publicado 2022-05-24 · Atualizado 2025-04-17 · CVE-2022-23050

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ManageEngine AppManager15 versão 15510

Descrição

A vulnerabilidade permite que um usuário administrador autenticado faça o upload de um arquivo DLL, possibilitando um ataque de sequestro de DLL dentro da pasta ‘working’ por meio da funcionalidade ‘Upload Files / Binaries’.

Recomendações

Para o ManageEngine AppManager15 versão 15510, considere desativar a funcionalidade “Upload Files / Binaries” como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à pasta “working” para minimizar o risco de exploração. Evite usar a funcionalidade “Upload Files / Binaries” até que o problema seja resolvido.

Exploit

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-427

Identificadores relacionados

CVE-2022-23050

Produtos afetados

Manageengine Appmanager15

Referências · 7

• 🔥 https://fluidattacks.com/advisories/cerati · Exploit
• https://twitter.com/fluidattacks/status/1912993975390052796 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2022-23050 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-23050 · Nota de Segurança
• https://t.me/cibsecurity/43292 · Publicação no Telegram
• https://t.me/cvenotify/30649 · Publicação no Telegram
• https://manageengine.com/products/applications_manager/security-updates/security-updates-cve-2022-23050.html · Aviso do Fabricante