Suivi KEV › Zoho

CVE-2022-47966 Zoho ManageEngine, plusieurs produits : vulnérabilité d'exécution de code à distance

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 23 janvier 2023.

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 23 janvier 2023
• Échéance CISA : 13 février 2023
• Rançongiciels : utilisée dans des campagnes connues
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Plusieurs produits Zoho ManageEngine contiennent une vulnérabilité d'exécution de code à distance non authentifiée due à l'utilisation d'une dépendance tierce obsolète, Apache Santuario.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · manageengine.com

Gravité et exploitation

• Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Exploitable à distance, par le réseau, sans compte, sans action de la victime.
• Probabilité d’exploitation dans les 30 jours (EPSS) : 99,8 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
• Code d’exploitation public : signalé par la NVD.

Versions concernées

• manageengine access manager plus : versions < 4.3
• manageengine ad360 : versions < 4.3
• manageengine adaudit plus : versions < 7.0
• manageengine admanager plus : versions < 7.1
• manageengine adselfservice plus : versions < 6.2
• manageengine analytics plus : versions < 5.1
• manageengine assetexplorer : versions < 6.9
• manageengine key manager plus : versions < 6.4

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

• Validation d'entrée inappropriée (CWE-20) : Le produit reçoit des données d'entrée, mais ne valide pas ou valide incorrectement que ces données possèdent les propriétés requises pour les traiter de manière sûre et correcte.

Chronologie

1. 18 janvier 2023 — Publication de la CVE
2. 23 janvier 2023 — Exploitation confirmée : ajout au catalogue KEV de la CISA
3. 13 février 2023 — Échéance de correction pour les agences fédérales américaines

Références

• Avis de l’éditeur : manageengine.com
• Analyse : attackerkb.com
• Analyse : blog.viettelcybersecurity.com
• Analyse : github.com
• Analyse : cisa.gov
• Analyse : horizon3.ai

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Zoho ManageEngine Multiple Products Remote Code Execution Vulnerability

Multiple Zoho ManageEngine products contain an unauthenticated remote code execution vulnerability due to the usage of an outdated third-party dependency, Apache Santuario.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Zoho ManageEngine

• CVE-2022-28810 — Zoho ManageEngine ADSelfService Plus : exécution de code à distance (7 mars 2023)
• CVE-2022-35405 — Zoho ManageEngine, plusieurs produits : exécution de code à distance (22 septembre 2022)
• CVE-2021-40539 — Zoho ManageEngine ADSelfService Plus : contournement de l'authentification (3 novembre 2021)
• CVE-2020-10189 — Zoho ManageEngine Desktop Central : vulnérabilité de téléversement de fichiers (3 novembre 2021)
• CVE-2019-8394 — Zoho ManageEngine ServiceDesk Plus (SDP) : vulnérabilité de téléversement de fichiers (3 novembre 2021)

← Toutes les failles Zoho · Suivi KEV