PT-2022-28076 · Zoho · Zoho Manageengine Device Control Plus

CVE-2022-47578 · Publicado 2022-12-20 · Atualizado 2024-08-03

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Zoho ManageEngine Device Control Plus versão 10.1.2228.15

Descrição

Foi detectada uma falha no agente de proteção de terminais, na qual a configuração de restrições totais para dispositivos USB não impede que essas restrições sejam contornadas ao inicializar o sistema no Modo de Segurança. Isso permite que um arquivo seja trocado fora do sistema e, potencialmente, introduza malware. Pode ocorrer exfiltração de dados. O fornecedor contesta que isso seja uma vulnerabilidade em seu produto.

Recomendações

Para o Zoho ManageEngine Device Control Plus versão 10.1.2228.15, considere restringir o acesso ao Modo de Segurança para impedir a contornamento das restrições de USB, como uma solução temporária até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

CVE-2022-47578

Produtos afetados

Zoho Manageengine Device Control Plus

Referências · 9

• 🔥 https://medium.com/nestedif/vulnerability-disclosure-business-logic-unauthorized-data-exfiltration-bypassing-dlp-zoho-cc51465ba84a · Exploit
• https://t.me/cvenotify/40963 · Publicação no Telegram
• https://manageengine.com/device-control/how-to/device-control.html · Aviso do Fabricante
• https://t.me/cvenotify/88787 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-47578 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-47578 · Aviso do Fabricante
• https://t.me/cvenotify/40802 · Publicação no Telegram
• https://t.me/cibsecurity/54950 · Publicação no Telegram
• https://t.me/cvenotify/87079 · Publicação no Telegram