Vulnérabilités Zoho activement exploitées (KEV)

CVE-2022-28810 — Zoho ManageEngine ADSelfService Plus : exécution de code à distance

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 7 mars 2023
• Échéance CISA : 28 mars 2023
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78, CWE-259
• Gravité : CVSS 6,8 (moyenne)
• Probabilité d’exploitation (EPSS) : 71 %

Zoho ManageEngine ADSelfService Plus contient une vulnérabilité non spécifiée permettant une exécution de code à distance lors de l'exécution d'un changement ou d'une réinitialisation de mot de passe.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · manageengine.com

CVE-2022-47966 — Zoho ManageEngine, plusieurs produits : vulnérabilité d'exécution de code à distance Critique

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 23 janvier 2023
• Échéance CISA : 13 février 2023
• Rançongiciels : utilisée dans des campagnes connues
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Plusieurs produits Zoho ManageEngine contiennent une vulnérabilité d'exécution de code à distance non authentifiée due à l'utilisation d'une dépendance tierce obsolète, Apache Santuario.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · manageengine.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-35405 — Zoho ManageEngine, plusieurs produits : exécution de code à distance

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 22 septembre 2022
• Échéance CISA : 13 octobre 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Zoho ManageEngine PAM360, Password Manager Pro et Access Manager Plus contiennent une vulnérabilité non spécifiée qui permet une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · manageengine.com

CVE-2021-44515 — Zoho Desktop Central : contournement de l'authentification

• Produit : Zoho Desktop Central
• Ajoutée au catalogue : 10 décembre 2021
• Échéance CISA : 24 décembre 2021
• Rançongiciels : pas d’usage connu
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Zoho Desktop Central contient une vulnérabilité de contournement de l'authentification qui pourrait permettre à un attaquant d'exécuter du code arbitraire sur le serveur MSP de Desktop Central.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-44077 — Zoho, ManageEngine ServiceDesk Plus : exécution de code à distance

• Produit : Zoho ManageEngine ServiceDesk Plus (SDP) / SupportCenter Plus
• Ajoutée au catalogue : 1 décembre 2021
• Échéance CISA : 15 décembre 2021
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 93 %

Zoho ManageEngine ServiceDesk Plus avant 11306, ServiceDesk Plus MSP avant 10530 et SupportCenter Plus avant 11014 sont vulnérables à une exécution de code à distance non authentifiée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-37415 — Zoho ManageEngine ServiceDesk : contournement de l'authentification

• Produit : Zoho ManageEngine ServiceDesk Plus (SDP)
• Ajoutée au catalogue : 1 décembre 2021
• Échéance CISA : 15 décembre 2021
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-306
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Zoho ManageEngine ServiceDesk Plus avant la version 11302 est vulnérable à un contournement de l'authentification qui permet d'accéder à certaines URL de l'API REST sans authentification.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-40539 — Zoho ManageEngine ADSelfService Plus : contournement de l'authentification Critique

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-55
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Zoho ManageEngine ADSelfService Plus contient une vulnérabilité de contournement de l'authentification affectant les URL de l'API REST qui permettent une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2020-10189 — Zoho ManageEngine Desktop Central : vulnérabilité de téléversement de fichiers

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-502
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %

Zoho ManageEngine Desktop Central contient une vulnérabilité de téléversement de fichiers qui permet une exécution de code à distance non authentifiée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-8394 — Zoho ManageEngine ServiceDesk Plus (SDP) : vulnérabilité de téléversement de fichiers

• Produit : Zoho ManageEngine
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-434
• Gravité : CVSS 6,5 (moyenne)
• Probabilité d’exploitation (EPSS) : 63 %

Zoho ManageEngine ServiceDesk Plus (SDP) contient une vulnérabilité non spécifiée qui permet aux utilisateurs distants de téléverser des fichiers via la personnalisation de la page de connexion.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA