PT-2022-4859 · Zoho · Zoho Manageengine Access Manager Plus+2

Vinicius · Publicado 2022-07-19 · Atualizado 2025-10-31 · CVE-2022-35405

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Zoho ManageEngine Password Manager Pro anteriores à 12101

Versões do Zoho ManageEngine PAM360 anteriores à 5510

Versões do Zoho ManageEngine Access Manager Plus anteriores à 4303

Descrição

O problema está relacionado a uma falha no mecanismo de desserialização do componente xmlrpc do Zoho ManageEngine Password Manager Pro e do Zoho ManageEngine Access Manager Plus, permitindo que um invasor remoto não autenticado execute código arbitrário.

Recomendações

Para versões do Zoho ManageEngine Password Manager Pro anteriores à 12101, atualize para a versão 12101 ou posterior.

Para versões do Zoho ManageEngine PAM360 anteriores à 5510, atualize para a versão 5510 ou posterior.

Para versões do Zoho ManageEngine Access Manager Plus anteriores à 4303, atualize para a versão 4303 ou posterior.

Como solução alternativa temporária, considere restringir o acesso ao componente xmlrpc até que um patch seja aplicado.

Exploit

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2022-05983

CVE-2022-35405

Produtos afetados

Zoho Manageengine Access Manager Plus

Zoho Manageengine Pam360

Manageengine Password Manager Pro

Referências · 19

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/windows/http/zoho_password_manager_pro_xml_rpc_rce.rb · Exploit
• 🔥 https://github.com/viniciuspereiras/CVE-2022-35405 · Exploit
• 🔥 http://packetstormsecurity.com/files/167918/Zoho-Password-Manager-Pro-XML-RPC-Java-Deserialization.html · Exploit
• https://t.me/true_secator/3463 · Publicação no Telegram
• https://t.me/cybersecuritytechnologies/6516 · Publicação no Telegram
• https://t.me/proxy_bar/1036 · Publicação no Telegram
• https://twitter.com/fletch_ai/status/1699892061808312706 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2022-35405 · Nota de Segurança
• https://manageengine.com/products/passwordmanagerpro/advisory/cve-2022-35405.html · Aviso do Fabricante, Nota de Segurança
• https://t.me/cvenotify/37126 · Publicação no Telegram
• https://t.me/cibsecurity/46547 · Publicação no Telegram
• https://t.me/cveNotify/141120 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-35405 · Aviso do Fabricante
• https://t.me/cvenotify/33402 · Publicação no Telegram
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-35405 · Nota