Xakep #305. Многошаговые SQL-инъекции
Исследователи выпустили PoC-эксплоит для RCE-уязвимости в нескольких продуктах Zoho ManageEngine. Проблема, допускающая удаленное выполнение произвольного кода без аутентификации (CVE-2022-47966), связана с использованием устаревшей и уязвимой версии библиотеки Apache Santuario.
Эта проблема позволяет неаутентифицированным атакующим выполнять произвольный код в экземплярах ManageEngine, если система единого входа (SSO) на основе SAML включена или была включена хотя бы один раз перед атакой.
Проблема представляет опасность для почти всех продуктов ManageEngine, однако разработчики уже выпустили несколько «волн» патчей, начиная с 27 октября 2022 года, обновляя зависимости до безопасной версии. Уязвимые перед CVE-2022-47966 продукты перечислены в таблице в конце этой публикации.
На прошлой неделе эксперты из компании Horizon3 предупреждали, что со дня на день выпустят PoC-эксплоит для этого опасного бага, и теперь сдержали свое слово. Вчера компания обнародовала PoC-эксплоит и технический анализ уязвимости.
«Уязвимость позволяет злоумышленнику добиться удаленного выполнения кода, отправив HTTP POST-запрос, содержащий вредоносный ответ SAML, — пишут исследователи. — Наш PoC-эксплоит злоупотребляет уязвимостью для удаленного и неаутентифицированного выполнения кода и запуска команд с помощью Java Runtime.exec».
Сообщается, что эксплоит был протестирован на ServiceDesk Plus и Endpoint Central, и эксперты ожидают, что «PoC будет работать без изменений во многих продуктах ManageEngine, которые делят кодовую базу с ServiceDesk Plus или EndpointCentral».
Ранее аналитики Horizon3 уже предупреждали о том, что релиз эксплоита может повлечь за собой волну атак на CVE-2022-47966, поскольку «уязвимость легко использовать, и злоумышленники могут использовать стратегию spray and pray».
Хуже того, компания обнаружила в интернете тысячи непропатченных серверов ServiceDesk Plus и Endpoint Central, хотя отмечалось, что только около 10% всех обнаруженных устройств уязвимы перед CVE-2022-47966, поскольку на них включен SAML.
И хотя пока сообщений об атаках с использованием этой уязвимости не было, эксперты уверены, что злоумышленники, скорее всего, быстро начнут разрабатывать собственные эксплоиты на основе PoC Horizon3.
| Название продукта | Затронутые версии | Исправленные версии | Дата выпуска |
| Access Manager Plus* | 4307 и ниже | 4308 | 7/11/2022 |
| Active Directory 360** | 4309 и ниже | 4310 | 28/10/2022 |
| ADAudit Plus** | 7080 и ниже | 7081 | 28/10/2022 |
| ADManager Plus** | 7161 и ниже | 7162 | 28/10/2022 |
| ADSelfService Plus** | 6210 и ниже | 6211 | 28/10/2022 |
| Analytics Plus* | 5140 и ниже | 5150 | 7/11/2022 |
| Application Control Plus* | 10.1.2220.17 и ниже | 10.1.2220.18 | 28/10/2022 |
| Asset Explorer** | 6982 и ниже | 6983 | 27/10/2022 |
| Browser Security Plus* | 11.1.2238.5 и ниже | 11.1.2238.6 | 28/10/2022 |
| Device Control Plus* | 10.1.2220.17 и ниже | 10.1.2220.18 | 28/10/2022 |
| Endpoint Central* | 10.1.2228.10 и ниже | 10.1.2228.11 | 28/10/2022 |
| Endpoint Central MSP* | 10.1.2228.10 и ниже | 10.1.2228.11 | 28/10/2022 |
| Endpoint DLP* | 10.1.2137.5 и ниже | 10.1.2137.6 | 28/10/2022 |
| Key Manager Plus* | 6400 и ниже | 6401 | 27/10/2022 |
| OS Deployer* | 1.1.2243.0 и ниже | 1.1.2243.1 | 28/10/2022 |
| PAM 360* | 5712 и ниже | 5713 | 7/11/2022 |
| Password Manager Pro* | 12123 и ниже | 12124 | 7/11/2022 |
| Patch Manager Plus* | 10.1.2220.17 и ниже | 10.1.2220.18 | 28/10/2022 |
| Remote Access Plus* | 10.1.2228.10 и ниже | 10.1.2228.11 | 28/10/2022 |
| Remote Monitoring and Management (RMM)* | 10.1.40 и ниже | 10.1.41 | 29/10/2022 |
| ServiceDesk Plus** | 14003 и ниже | 14004 | 27/10/2022 |
| ServiceDesk Plus MSP** | 13000 и ниже | 13001 | 27/10/2022 |
| SupportCenter Plus** | 11017 to 11025 | 11026 | 28/10/2022 |
| Vulnerability Manager Plus* | 10.1.2220.17 и ниже | 10.1.2220.18 | 28/10/2022 |
* — Уязвимость актуальна, только если SSO-система на основе SAML настроена и в данный момент активна.
** — Уязвимость актуальна, если SSO-система на основе SAML была настроена хотя бы один раз в прошлом, независимо от текущего статуса системы SSO.
