CVE-2021-44077criticalbajo ataqueCWE-306

CVE-2021-44077

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ManageEngine ServiceDesk Plus / SupportCenter Plus

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 94%
de la publicación al arma9 días
Publicada en NVD29 nov
1ª PoC+9d
metasploit16 sept
CISA KEV+2d
Acción exigida por CISAplazo federal: 2021-12-15

Apply updates per vendor instructions.

En resumen

Zoho ManageEngine ServiceDesk Plus y productos relacionados permiten que atacantes ejecuten código malicioso en el servidor sin necesidad de iniciar sesión. Esto ocurre por un defecto en cómo la aplicación maneja solicitudes de API REST, poniendo en riesgo grave todos los datos.

Detalle técnico

Existe una vulnerabilidad de ejecución remota de código no autenticada en el endpoint /RestAPI del servlet debido a controles de acceso inadecuados en la configuración de Struts, específicamente en la acción ImportTechnicians. Un atacante puede explotarla sin autenticación para ejecutar código arbitrario con privilegios del servidor, afectando ServiceDesk Plus (<11306), ServiceDesk Plus MSP (<10530) y SupportCenter Plus (<11014).

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Zoho ManageEngine ServiceDesk Plus before 11306, ServiceDesk Plus MSP before 10530, and SupportCenter Plus before 11014 are vulnerable to unauthenticated remote code execution. This is related to /RestAPI URLs in a servlet, and ImportTechnicians in the Struts configuration.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.