CVE-2021-37415criticalbajo ataqueCWE-306

CVE-2021-37415

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ManageEngine ServiceDesk Plus

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

95Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al arma
Publicada en NVD1 sept
CISA KEV+91d
Acción exigida por CISAplazo federal: 2021-12-15

Apply updates per vendor instructions.

En resumen

Zoho ManageEngine ServiceDesk Plus anterior a la versión 11302 tiene una falla que permite a atacantes acceder a ciertas funciones de API REST sin iniciar sesión, pudiendo exponer datos sensibles o permitir acciones no autorizadas.

Detalle técnico

La CWE-306 (Verificación de Autenticación Faltante) permite acceso sin autenticación a endpoints específicos de API REST en ServiceDesk Plus versiones anteriores a 11302. Un atacante puede explotar esto llamando directamente URLs de API afectadas sin credenciales, eludiendo controles de autenticación y obteniendo acceso no autorizado a operaciones sensibles.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Zoho ManageEngine ServiceDesk Plus before 11302 is vulnerable to authentication bypass that allows a few REST-API URLs without authentication.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a