CISA lançou um alerta sobre um novo, vulnerabilidade crítica de dia zero que afeta os servidores Zoho ManageEngine.
relacionado: Três novos dias zero divulgados no Kaseya Unitrends
Mais especificamente, uma falha de desvio de autenticação afeta os URLs da API REST em ADSelfService Plus, o que poderia levar à execução remota de código, se explorado com sucesso. O dia zero foi identificado como CVE-2021-40539.
CVE-2021-40539 Zero-Day no Zoho ManageEngine
Após a divulgação, Zoho lançou uma atualização de segurança que corrige a falha. A falha em si afeta as compilações do ManageEngine ADSelfService Plus 6113 e abaixo.
De acordo com o conselho da Zoho, o dia zero “permite que um invasor obtenha acesso não autorizado ao produto por meio de endpoints da API REST, enviando uma solicitação especialmente criada. Isso permitiria ao invasor realizar ataques subsequentes, resultando em RCE. ”
O que é ManageEngine ADSelfService Plus?
Esta é uma solução de gerenciamento de senha de autoatendimento e logon único para Active Directory e aplicativos em nuvem. “A CISA recomenda fortemente que as organizações garantam que ADSelfService Plus não seja diretamente acessível da Internet," Os pesquisadores alertado.
Usuários e administradores são encorajados a se relacionar com o conselho do Zoho para mais detalhes, e para atualizar para a versão ADSelfService Plus 6114.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: