PT-2022-19250 · Zoho · Zoho Manageengine Adselfservice Plus

Andrew Iwamaye + 3 · Publicado 2022-04-18 · Atualizado 2025-10-31 · CVE-2022-28810

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.1

Alta

Vetor base

AV:N/AC:H/Au:S/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Zoho ManageEngine ADSelfService Plus anteriores à 6122

Descrição

A vulnerabilidade permite que um administrador remoto autenticado execute comandos arbitrários do sistema operacional como SYSTEM por meio do recurso de script personalizado de políticas. Isso pode ser explorado devido ao uso de uma senha de administrador padrão, facilitando que invasores abusem dessa funcionalidade. Além disso, um invasor remoto e parcialmente autenticado pode ser capaz de injetar comandos arbitrários no script personalizado devido a um campo de senha não sanitizado, especificamente o campo password. Essa vulnerabilidade pode ser explorada quando um determinado recurso de sincronização de senhas está habilitado, o qual usa senhas como argumentos de script, permitindo a execução remota de código por meio da entrada do executável CMD.EXE.

Recomendações

Para versões anteriores à 6122, atualize para uma versão que inclua a correção para este problema, especificamente a compilação 6122 ou posterior, para impedir a execução remota de código. Como solução alternativa temporária, considere desativar o recurso de script personalizado de política até que um patch esteja disponível. Restrinja o acesso ao recurso de sincronização de senhas que usa senhas como argumentos de script para minimizar o risco de exploração. Evite usar o campo password no script personalizado até que o problema seja resolvido.

Exploit

Correção

OS Command Injection

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-78

CWE-798

Identificadores relacionados

CVE-2022-28810

Produtos afetados

Zoho Manageengine Adselfservice Plus

Referências · 13

• 🔥 https://github.com/rapid7/metasploit-framework/pull/16475 · Exploit
• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/http/manageengine_adselfservice_plus_cve_2022_28810.rb · Exploit
• 🔥 https://rapid7.com/blog/post/2022/04/14/cve-2022-28810-manageengine-adselfservice-plus-authenticated-command-execution-fixed · Exploit
• 🔥 http://packetstormsecurity.com/files/166816/ManageEngine-ADSelfService-Plus-Custom-Script-Execution.html · Exploit
• https://t.me/thehackernews/3125 · Publicação no Telegram
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-28810 · Nota
• https://manageengine.com/products/self-service-password/advisory/CVE-2022-28810.html · Nota de Segurança
• https://manageengine.com/products/self-service-password/kb/cve-2022-28810.html · Aviso do Fabricante
• https://t.me/cibsecurity/41007 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-28810 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-28810 · Aviso do Fabricante
• https://t.me/cvenotify/29103 · Publicação no Telegram
• https://t.me/cveNotify/141119 · Publicação no Telegram