CVE-2021-44077

Falha de bypass de autenticação (CWE-306) em ManageEngine ServiceDesk Plus, ServiceDesk Plus MSP e SupportCenter Plus que permite execução remota de código sem credenciais. Está no catálogo KEV da CISA com confirmação de exploração ativa, tem módulo Metasploit, template Nuclei e PoC pública — ou seja, o CVSS 9.8 reflete risco real e já demonstrado, não apenas teórico.

A causa raiz documentada pelo fornecedor e pela CISA é ausência de autenticação em uma função crítica (CWE-306). O problema está em como URLs sob /RestAPI são tratadas por um servlet da aplicação, combinado com a configuração da action ImportTechnicians no Struts (o framework usado pela interface web do ServiceDesk Plus/SupportCenter Plus).

O mapeamento de rotas do Struts, junto com o roteamento do servlet REST, permite que uma requisição chegue à funcionalidade de importação de técnicos sem passar pelo filtro de autenticação normal da aplicação. Isso dá a um atacante não autenticado acesso a uma operação que deveria estar restrita a administradores autenticados.

O fornecedor não publicou detalhes de baixo nível sobre a cadeia exata que leva de 'importar técnicos' para execução de código arbitrário no servidor. O que se sabe com confiança é o ponto de entrada (rota /RestAPI + action ImportTechnicians) e a classe da falha (bypass de autenticação levando a RCE); o encadeamento interno até a execução de comandos é o que PoCs públicas e o módulo Metasploit demonstram na prática, sem que isso tenha sido detalhado de forma oficial pela Zoho.

Não exige autenticação, acesso à rede ao painel web do ServiceDesk Plus/SupportCenter Plus/MSP é suficiente (AV:N, PR:N, UI:N no vetor CVSS). A complexidade de ataque é baixa: existe módulo Metasploit público e template Nuclei, o que reduz drasticamente a barreira técnica — qualquer instância exposta à internet com versão vulnerável é alvo viável de scanners automatizados.

O impacto final é execução de código no contexto do servidor de aplicação, com comprometimento total de confidencialidade, integridade e disponibilidade (C:H/I:H/A:H), incluindo acesso ao banco de dados de tickets, dados de clientes e potencialmente pivotagem para a rede interna, já que ferramentas de ITSM costumam ter credenciais privilegiadas e integração com AD/LDAP.

A presença no catálogo KEV da CISA confirma exploração observada em ambiente real, não apenas em laboratório. A CISA definiu prazo de correção de 2021-12-15 para agências federais americanas, prazo curto que reflete a gravidade e a facilidade de exploração observada.

Atualizar é a única mitigação recomendada pelo fornecedor: ServiceDesk Plus para a build 11306 ou superior, ServiceDesk Plus MSP para 10530 ou superior, SupportCenter Plus para 11014 ou superior. Os advisories oficiais da Zoho detalham faixas específicas (por exemplo, MSP 10527–10529 e SupportCenter Plus 11012–11013) confirmando que builds nessas faixas estão vulneráveis e precisam do patch correspondente.

Se a atualização imediata não for possível, a exposição do painel de administração à internet pública deve ser eliminada — restringir acesso a /RestAPI e à interface web via VPN, allowlist de IP ou segmentação de rede reduz a superfície de ataque, já que a falha depende de acesso de rede direto ao servlet vulnerável. Isso é mitigação parcial, não substitui o patch: não corrige a ausência de autenticação, apenas limita quem pode alcançar o endpoint.

Não existe mitigação por configuração de aplicação documentada pelo fornecedor (ex.: desabilitar apenas a rota ImportTechnicians) — a correção é estrutural no código, entregue via atualização de build. WAF genérico pode bloquear assinaturas conhecidas de exploit público, mas não é garantia contra variações do payload.

Monitorar logs de acesso web por requisições não autenticadas a rotas sob /RestAPI, especialmente qualquer chamada que referencie a action ImportTechnicians, vindas de IPs externos ou sem sessão válida prévia. Presença de arquivos novos e inesperados em diretórios da aplicação (webshells), processos filhos anômalos gerados pelo servidor de aplicação Java do ServiceDesk Plus, ou conexões de saída inesperadas do host são sinais de comprometimento pós-exploração.

Não há um indicador de rede único e confiável documentado publicamente pelo fornecedor para essa CVE específica — a detecção depende de correlacionar acesso anômalo ao endpoint vulnerável com artefatos de pós-exploração no host, já que scanners e módulos automatizados (Nuclei, Metasploit) podem variar a assinatura da requisição inicial.