CVE-2022-47966criticalbajo ataqueransomwareCWE-20

CVE-2022-47966

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear ManageEngine ServiceDesk

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 100%
de la publicación al armael mismo día
Publicada en NVD18 ene
1ª PoC17 ene
metasploit10 ene
CISA KEV+5d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

APT / EstatalStorm-0501 MITRE ATT&CK
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
14 productos — porque el código vulnerable no está presente en el producto
Logging Subsystem for Red Hat OpenShift · Red Hat Data Grid 8 · Red Hat Fuse 7 · Red Hat Integration Camel K 1 · Red Hat Integration Camel Quarkus 1 · y otros 9
Acción exigida por CISAplazo federal: 2023-02-13

Apply updates per vendor instructions.

En resumen

Múltiples productos Zoho ManageEngine permiten que atacantes ejecuten código arbitrario remotamente a través de vulnerabilidades en el procesamiento XML durante autenticación SAML. Si su organización usa inicio de sesión único con estos productos, los atacantes pueden obtener control total del sistema.

Detalle técnico

CVE-2022-47966 explota el procesamiento inseguro de XSLT en Apache Santuario xmlsec 1.4.1 utilizado por productos ManageEngine. El vector de ataque es por red, dirigido a endpoints de autenticación SAML; la explotación requiere que SAML SSO esté configurado (y en algunos productos, activo). El impacto es ejecución remota de código sin autenticación con privilegios del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Multiple Zoho ManageEngine on-premise products, such as ServiceDesk Plus through 14003, allow remote code execution due to use of Apache Santuario xmlsec (aka XML Security for Java) 1.4.1, because the xmlsec XSLT features, by design in that version, make the application responsible for certain security protections, and the ManageEngine applications did not provide those protections. This affects Access Manager Plus before 4308, Active Directory 360 before 4310, ADAudit Plus before 7081, ADManager Plus before 7162, ADSelfService Plus before 6211, Analytics Plus before 5150, Application Control Plus before 10.1.2220.18, Asset Explorer before 6983, Browser Security Plus before 11.1.2238.6, Device Control Plus before 10.1.2220.18, Endpoint Central before 10.1.2228.11, Endpoint Central MSP before 10.1.2228.11, Endpoint DLP before 10.1.2137.6, Key Manager Plus before 6401, OS Deployer before 1.1.2243.1, PAM 360 before 5713, Password Manager Pro before 12124, Patch Manager Plus before 10.1.2220.18, Remote Access Plus before 10.1.2228.11, Remote Monitoring and Management (RMM) before 10.1.41. ServiceDesk Plus before 14004, ServiceDesk Plus MSP before 13001, SupportCenter Plus before 11026, and Vulnerability Manager Plus before 10.1.2220.18. Exploitation is only possible if SAML SSO has ever been configured for a product (for some products, exploitation requires that SAML SSO is currently active).
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.