CVE-2020-10189criticalbajo ataqueCWE-502

CVE-2020-10189

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ManageEngine ServiceDesk

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 100%
de la publicación al arma11 días
Publicada en NVD6 mar
1ª PoC+11d
metasploit5 mar
CISA KEV+607d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

APT / EstatalAPT41🇨🇳 MITRE ATT&CK
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Zoho ManageEngine Desktop Central anterior a la versión 10.0.474 tiene una falla crítica donde los atacantes pueden ejecutar código malicioso en el servidor enviando solicitudes especialmente preparadas que explotan la deserialización insegura de datos. Esto permite el compromiso completo del sistema afectado sin necesidad de autenticación.

Detalle técnico

Una vulnerabilidad de deserialización en el método getChartImage de la clase FileStorage permite ejecución remota de código sin autenticación a través de los servlets CewolfServlet y MDMLogUploaderServlet. Los atacantes pueden crear objetos Java serializados maliciosos que ejecutan código arbitrario durante la deserialización, resultando en compromiso total del sistema con CVSS 9.8.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Zoho ManageEngine Desktop Central before 10.0.474 allows remote code execution because of deserialization of untrusted data in getChartImage in the FileStorage class. This is related to the CewolfServlet and MDMLogUploaderServlet servlets.
CVSS:3.0/AC:L/AV:N/A:H/C:H/I:H/PR:N/S:U/UI:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.