PT-2024-8780 · Zoho · Zoho Manageengine Adaudit Plus

Nhien Pham

+1

·

Publicado

2024-06-14

·

Atualizado

2024-08-15

·

CVE-2024-36518

CVSS v2.0

8.7

Alta

VetorAV:N/AC:L/Au:S/C:C/I:C/A:P
Nome do software vulnerável e versões afetadas:
Zohocorp ManageEngine ADAudit Plus versões anteriores à 8110
Descrição:
O problema está relacionado à falta de proteção da estrutura de consultas SQL na ferramenta de gerenciamento e geração de relatórios do Windows Active Directory. Isso pode permitir que um invasor remoto execute consultas personalizadas e obtenha acesso aos registros das tabelas do banco de dados. A vulnerabilidade está associada a uma injeção de SQL autenticada no painel do analisador de superfície de ataque.
Recomendações:
Para as versões do Zohocorp ManageEngine ADAudit Plus anteriores à 8110, atualize para a versão 8110 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao painel do analisador de superfície de ataque até que um patch esteja disponível. Evite usar a estrutura de consulta SQL vulnerável no painel até que o problema seja resolvido. No momento, não há outras informações sobre medidas de mitigação adicionais.

Correção

SQL injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BDU:2024-10399
CVE-2024-36518

Produtos afetados

Zoho Manageengine Adaudit Plus