Suivi KEV › Zoho

CVE-2021-40539 Zoho ManageEngine ADSelfService Plus : contournement de l'authentification

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : Zoho ManageEngine
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-55
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : 99 %

Zoho ManageEngine ADSelfService Plus contient une vulnérabilité de contournement de l'authentification affectant les URL de l'API REST qui permettent une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 99,0 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • manageengine adselfservice plus : versions < 6.1
  • manageengine adselfservice plus : 9 versions, de 6.1 à 6.1-6113

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Utilisation de nom ou référence mal résolus (CWE-706) : Le produit utilise un nom ou une référence pour accéder à une ressource, mais ce nom/cette référence se résout vers une ressource en dehors du périmètre de contrôle prévu.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Zoho ManageEngine ADSelfService Plus Authentication Bypass Vulnerability

Zoho ManageEngine ADSelfService Plus contains an authentication bypass vulnerability affecting the REST API URLs which allow for remote code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Zoho ManageEngine

  • CVE-2022-28810 — Zoho ManageEngine ADSelfService Plus : exécution de code à distance (7 mars 2023)
  • CVE-2022-47966 — Zoho ManageEngine, plusieurs produits : vulnérabilité d'exécution de code à distance (23 janvier 2023)
  • CVE-2022-35405 — Zoho ManageEngine, plusieurs produits : exécution de code à distance (22 septembre 2022)
  • CVE-2020-10189 — Zoho ManageEngine Desktop Central : vulnérabilité de téléversement de fichiers (3 novembre 2021)
  • CVE-2019-8394 — Zoho ManageEngine ServiceDesk Plus (SDP) : vulnérabilité de téléversement de fichiers (3 novembre 2021)

← Toutes les failles Zoho · Suivi KEV