CISA ha publicado una alerta sobre una nueva, vulnerabilidad crítica de día cero que afecta a los servidores de Zoho ManageEngine.
Relacionado: Tres nuevos días cero revelados en Kaseya Unitrends
Más específicamente, una falla de autenticación por omisión afecta las URL de la API REST en ADSelfService Plus, lo que podría provocar la ejecución remota de código, si se explota con éxito. El día cero se ha identificado como CVE-2021-40539.
CVE-2021-40539 Día cero en Zoho ManageEngine
Después de la divulgación, Zoho ha lanzado una actualización de seguridad que aborda la falla.. La falla en sí afecta las compilaciones de ManageEngine ADSelfService Plus 6113 y por debajo.
Según el aviso de Zoho, el día cero "permite que un atacante obtenga acceso no autorizado al producto a través de los puntos finales de la API REST mediante el envío de una solicitud especialmente diseñada. Esto permitiría al atacante llevar a cabo ataques posteriores que resulten en RCE ".
¿Qué es ManageEngine ADSelfService Plus??
Esta es una solución de autoservicio de administración de contraseñas e inicio de sesión único para Active Directory y aplicaciones en la nube.. “CISA insta encarecidamente a las organizaciones a que se aseguren de que ADSelfService Plus no sea accesible directamente desde Internet," los investigadores alertado.
Se anima a los usuarios y administradores a que se relacionen con el aviso de Zoho para obtener más detalles., y actualizar a la compilación ADSelfService Plus 6114.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: