Zoho · ManageEngine ServiceDesk Plus (SDP) / SupportCenter Plus
CVE-2021-44077
Zoho ManageEngine ServiceDesk Plus Remote Code Execution Vulnerability
Что это
Zoho ManageEngine ServiceDesk Plus before 11306, ServiceDesk Plus MSP before 10530, and SupportCenter Plus before 11014 are vulnerable to unauthenticated remote code execution. This is related to /RestAPI URLs in a servlet, and ImportTechnicians in the Struts configuration.
CISA: Zoho ManageEngine ServiceDesk Plus before 11306, ServiceDesk Plus MSP before 10530, and SupportCenter Plus before 11014 are vulnerable to unauthenticated remote code execution
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 15 декабря 2021 г.
- Добавлена в список CISA
- 1 декабря 2021 г.
- Опубликована
- 29 ноября 2021 г.
- Серьёзность
- Критическая 9,8 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- 93% в верхних 0,2% всех известных уязвимостей
- Тип слабости
- CWE-306
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (5)
- https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticat…
- https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-authentication-bypass-vulnerabil…
- https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticat…
- https://pitstop.manageengine.com/portal/en/community/topic/security-advisory-for-cve-2021-44077-unauthenticat…
- http://packetstormsecurity.com/files/165400/ManageEngine-ServiceDesk-Plus-Remote-Code-Execution.html
Другие эксплуатируемые уязвимости Zoho
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 7 мар. 2023 г. | ADSelfService Plus Remote Code Execution | ManageEngine | Средняя 6,8 | 71% |
| 23 янв. 2023 г. | Multiple Products Remote Code Execution | ManageEngine | Критическая 9,8 | 99,8% |
| 22 сент. 2022 г. | Multiple Products Remote Code Execution | ManageEngine | Критическая 9,8 | 99,9% |
| 10 дек. 2021 г. | Authentication Bypass | Desktop Central | Критическая 9,8 | 99,9% |
| 1 дек. 2021 г. | ManageEngine ServiceDesk Authentication Bypass | ManageEngine ServiceDesk Plus (SDP) | Критическая 9,8 | 99,8% |
| 3 нояб. 2021 г. | ServiceDesk Plus (SDP) File Upload | ManageEngine | Высокий 7,5 | 63% |
| 3 нояб. 2021 г. | Desktop Central File Upload | ManageEngine | Критическая 9,8 | 99,9% |
| 3 нояб. 2021 г. | ADSelfService Plus Authentication Bypass | ManageEngine | Критическая 9,8 | 99% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.